Accesos de proveedores: colaboración con permisos que caducan

Un proveedor puede necesitar acceso urgente para resolver una incidencia, pero esa urgencia no debería convertirse en una cuenta permanente con permisos generales. Las relaciones externas cambian, las personas rotan y los contratos terminan. Sin un proceso de revisión, la empresa acumula accesos que nadie recuerda. Una gestión práctica permite colaborar con rapidez y saber, en cualquier momento, quién puede entrar, para qué y durante cuánto tiempo.

Vincular el acceso a una necesidad concreta

Cada solicitud debe identificar la tarea, los sistemas implicados y el responsable interno que la autoriza. Esa información ayuda a distinguir una intervención puntual de un servicio recurrente. También permite acordar qué evidencias se conservarán y cómo se notificará una actividad inesperada. La autorización no puede depender únicamente de que el solicitante conozca el nombre de una aplicación o de un empleado.

En un ejemplo ficticio, un fabricante necesita revisar un servidor durante dos horas. El permiso puede limitarse a ese equipo, mediante un canal aprobado, y retirarse al cerrar la intervención. Si el trabajo se amplía, se revisa la autorización. Este enfoque evita conceder privilegios preventivos sobre sistemas que quizá nunca se utilizarán y facilita explicar cada conexión observada.

Utilizar identidades individuales

Las cuentas compartidas complican atribuir acciones y retirar el acceso de una persona concreta. Solicita identidades nominativas y define cómo se comunicarán cambios en el equipo del proveedor. Un contrato vigente no significa que todos sus antiguos técnicos deban conservar permisos. La autenticación debe ser apropiada al riesgo y las vías de recuperación necesitan controles equivalentes a los de empleados internos.

También hay accesos automáticos: agentes de soporte, integraciones y herramientas de gestión remota. Identifícalos por separado, con propietario y finalidad. La guía conjunta publicada por CISA sobre acceso remoto destaca la necesidad de conocer y controlar estas herramientas. Instalar una aplicación legítima no hace legítimo cualquier uso posterior ni garantiza que su configuración corresponda a la necesidad original.

Limitar destinos y capacidad de cambio

Conectar a la red no debe abrir toda la infraestructura. Define destinos, protocolos y roles necesarios. Para tareas de consulta, evita permisos de modificación; para administración, considera elevar privilegios solo durante la intervención. Cuando sea posible, utiliza un punto de acceso controlado que facilite aplicar políticas y registrar actividad, manteniendo también ese punto actualizado y supervisado.

• Registra empresa, persona, responsable interno y servicio que justifican el acceso.
• Establece inicio, vencimiento y permisos mínimos antes de habilitar la conexión.
• Exige un canal aprobado y revisa herramientas remotas adicionales que puedan instalarse.
• Conserva registros suficientes para relacionar acciones con la intervención autorizada.

Preparar emergencias sin abrir una excepción permanente

Las incidencias fuera de horario necesitan un procedimiento ágil. Define quién puede autorizar, cómo se verifica la identidad del técnico y qué revisión se hará después. Una autorización de emergencia puede concederse con un alcance temporal y quedar documentada para validación posterior. Lo que conviene evitar es un usuario genérico siempre habilitado cuya contraseña circula entre varias organizaciones.

Ensaya el procedimiento con el proveedor antes de necesitarlo. Comprueba que su personal conoce el canal de contacto, que la cuenta funciona y que las restricciones permiten la tarea prevista. Si el acceso depende de un empleado ausente, el plan puede fallar precisamente cuando más se necesita. Mantener una alternativa controlada reduce la presión para desactivar protecciones durante la incidencia.

Revisar las señales de uso

La supervisión puede detectar conexiones fuera de la ventana acordada, destinos nuevos o cambios administrativos inesperados. Esas señales requieren contexto: una intervención se pudo prolongar con autorización, o una dirección de salida puede haber cambiado. Vincula las alertas a solicitudes de trabajo y conserva un contacto válido del proveedor para confirmar la actividad sin depender de la cuenta investigada.

No prometas una revisión exhaustiva de todas las sesiones si no existe capacidad real para realizarla. Define qué eventos generan alerta y quién actúa. Si se graban sesiones, establece propósito, acceso y conservación conforme a los requisitos aplicables. La trazabilidad debe aportar valor a la investigación y gestionarse de manera proporcionada, no convertirse en un almacén de información sensible sin responsables.

Dar de baja y comprobar

Al terminar el servicio, retira cuentas, grupos, tokens y agentes que ya no sean necesarios. Revisa también permisos concedidos en aplicaciones cloud y credenciales conocidas por el proveedor. La comprobación final debe demostrar que el acceso ha desaparecido, conservando lo necesario para mantener el sistema. Una revisión periódica de accesos externos ayuda a detectar contratos finalizados y permisos que sobrevivieron a su motivo original.