¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer el procedimiento formal que debe seguir tu empresa para revisar y validar periódicamente quién tiene acceso a los sistemas, la información y los datos personales tratados por la organización.
Este documento es fundamental porque los permisos de los colaboradores pueden cambiar debido a ascensos, cambios de área o desvinculaciones. Si no se revisan periódicamente, pueden mantenerse accesos que ya no son necesarios, incrementando el riesgo de uso indebido o acceso no autorizado a datos personales e información sensible.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la realidad operativa de tu empresa.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo se enfoque en ejecutar revisiones periódicas de los accesos, roles y permisos otorgados a los sistemas, asegurando que la información de usuarios sea la correcta y apropiada para cada persona.
Asegúrate de que el alcance abarque todos los sistemas, aplicaciones y usuarios dentro del SGPI, especialmente aquellos que permitan acceder o tratar datos personales.
Planificación de las actividades de revisión.
Se recomienda establecer un cronograma que indique los sistemas incluidos en las revisiones, los responsables y la frecuencia de revisión. Una vez definido, el cronograma debe comunicarse a las personas involucradas.
Esto ayuda a tu equipo responsable a prepararse y coordinar dentro de sus actividades regulares, la ejecución correcta de estas revisiones, recordando que son esenciales para demostrar cumplimiento durante auditorías.
Las revisiones deben realizarse periódicamente y también ante cambios relevantes, como una reestructuración interna, cambios de puesto, incorporación de un sistema crítico o desvinculación de personal.
Si no cuentas con un formato predefinido, recomendamos usar el formato que te proponemos en el template de la actividad Plan y Programa de Auditoría, en la pestaña llamada "Plan".
Ejecución de la revisión e identificación de hallazgos.
Valida que los usuarios, roles y permisos configurados en los sistemas coincidan con los registros del módulo de Accesos de la plataforma Hackmetrix, o en el documento o herramienta que hayas elegido para llevar esta trazabilidad.
Revisa especialmente si existen permisos incompatibles con el puesto actual, accesos activos de excolaboradores, cuentas genéricas sin responsable, privilegios excesivos, o accesos no justificados según las funciones vigentes.
Documenta los hallazgos identificados y notifícalos a las áreas responsables para su corrección.
⚖️ Recomendación legal: Mantener permisos que no coinciden con las funciones actuales de una persona aumenta el riesgo de acceso no autorizado a datos personales. Si además se confirma que ese acceso fue utilizado de forma indebida, corresponde evaluarlo conforme al Procedimiento de Gestión de Incidentes.
Corrección de los hallazgos detectados.
El responsable correspondiente debe ejecutar las acciones necesarias para corregir los hallazgos y mantener los accesos alineados con las políticas de seguridad de la información, y con la realidad de los sistemas.
Si se identifican accesos indebidos a datos personales, las acciones correctivas deben ejecutarse con prioridad alta.
Cuando el hallazgo sea recurrente, evalúa si corresponde registrar una acción correctiva para revisar la causa de fondo del problema, por ejemplo, deficiencias en el Procedimiento de Gestión de Accesos.
Comunicación de los resultados.
El responsable debe comunicar los resultados de la revisión y las acciones realizadas sobre los hallazgos a las áreas interesadas, principalmente al Comité de Privacidad.
Si se considera pertinente, también se podrían comunicar los resultados a toda la organización o las áreas alcanzadas por el SGPI para reforzar las buenas prácticas, y la importancia de la participación de todos en el proceso de gestión de accesos.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para guiarte en el ciclo completo de planificación, ejecución, tratamiento de hallazgos y comunicación de la revisión, pero recuerda ajustarlo a las herramientas y prácticas reales de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Cruza los resultados de esta revisión con los reportes de Recursos Humanos. Si existe una baja, cambio de puesto o desvinculación, Tecnología, el área correspondiente y/o el dueño del sistema deben confirmar que los accesos fueron revocados o ajustados oportunamente.
Aplica una frecuencia de revisión basada en riesgo. Los sistemas que contienen datos personales o sensibles, bases de datos de clientes o accesos administrativos deberían revisarse con mayor frecuencia que las herramientas de bajo impacto.
Conserva la evidencia de cada revisión, incluyendo exportaciones de permisos, tickets de corrección, capturas o confirmaciones de las áreas responsables. Esto facilitará demostrar durante auditorías que el control opera en la práctica.
Alinea este procedimiento con tu Procedimiento de Gestión de Accesos, para que los hallazgos detectados sirvan también para mejorar el proceso diario de altas, modificaciones y bajas.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.