¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer el procedimiento que debe seguir tu empresa para gestionar las altas, bajas y modificaciones de accesos, roles y permisos a sistemas y activos de información.
Este documento es importante porque permite limitar el acceso a la información únicamente a las personas que lo necesitan para realizar sus funciones, reduciendo el riesgo de accesos indebidos, errores, uso no autorizado o exposición de datos personales.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la estructura, herramientas y responsables reales dentro de tu empresa.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo se enfoque en gestionar altas, bajas y modificaciones de accesos, roles y permisos de forma controlada.
Asegúrate de que el alcance incluya todas las áreas, procesos y sistemas donde se creen, modifiquen o eliminen usuarios y permisos, considerando también lo que hayas incluido en tu alcance de SGPI.
Considera también incluir todos los sistemas relevantes que almacenen o permitan acceder a datos personales.
Formaliza la solicitud de acceso.
Define quién puede solicitar un alta, baja o modificación de permisos.
Verifica que la solicitud se realice mediante un canal de comunicación y/o mecanismo previamente definido, como por ejemplo un correo, formulario o herramienta, para tener una correcta trazabilidad y resguardo de evidencia.
La solicitud debe explicar por qué se necesita el acceso y qué tipo de información podrá consultar o gestionar el usuario.
Revisión de la solicitud.
Define qué perfil o área revisará que el acceso solicitado sea coherente con las funciones del usuario y/o con la justificación dada en la solicitud.
Confirma que los permisos respeten el principio de mínimo privilegio y que no otorguen más acceso del necesario.
Identifica si el usuario tendrá acceso a datos personales o sensibles, y de ser así, cómo se van a indicar y aplicar las medidas de seguridad que correspondan.
Si la solicitud es incompleta, excesiva o no corresponde al rol del usuario, debe rechazarse o devolverse para su corrección.
⚖️ Recomendación legal: El acceso a datos personales debe limitarse a lo necesario para cumplir una función concreta. Otorgar acceso general a bases de datos, archivos o sistemas sin una justificación operativa aumenta el riesgo de incumplimiento y de uso indebido interno.
Autorización de la solicitud.
Define quién y cómo se debe aprobar formalmente el acceso antes de que sea ejecutado.
Ajusta los roles para evitar que la misma persona solicite, autorice y ejecute un acceso crítico, siempre que sea posible dentro de tu operativa.
Ejecuta el alta, baja o modificación.
Una vez aprobada la solicitud, el área técnica o responsable asignado debe crear, modificar o eliminar los permisos en los sistemas correspondientes, así como también conservar evidencia de la acción realizada, como capturas, registros del sistema, tickets o confirmaciones técnicas.
Asegúrate de que la ejecución coincida con lo aprobado y no incluya permisos adicionales.
Registro de la gestión de accesos.
Si usan nuestro módulo de Accesos de la plataforma Hackmetrix, debes actualizarlo con el nuevo estatus de los roles y permisos ajustados, o dentro de la herramienta interna definida por la empresa para la gestión de accesos.
Conserva estos registros como respaldo para auditorías internas, externas o investigaciones de incidentes.
Notifica al solicitante.
Define quién comunicará al solicitante que el acceso fue otorgado, modificado, rechazado o eliminado. Y define también un canal formal para hacerlo, de modo que permita dejar evidencia de la notificación.
Cuando una solicitud sea rechazada, informa de manera clara el motivo y, cuando corresponda, las acciones necesarias para corregirla.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para orientar la solicitud, revisión, autorización, ejecución, registro y notificación de accesos, pero recuerda que debe ajustarse a la realidad operativa de tu empresa y mantenerse alineado con los demás documentos del SGPI.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Coordina este procedimiento con Recursos Humanos para asegurar que Tecnología sea notificada de inmediato ante incorporaciones, cambios de puesto, licencias prolongadas o desvinculaciones.
Realiza revisiones periódicas de los accesos activos para validar que cada usuario conserve únicamente los permisos que todavía necesita.
Cuando sea viable, utiliza accesos basados en roles o perfiles de puesto, evitando configurar permisos individuales sin un criterio uniforme.
Protege los formularios, tickets y evidencias de acceso, ya que pueden revelar información sensible sobre sistemas, usuarios y controles internos.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.