El control de acceso significa que puede demostrar quién tiene permiso para acceder a qué sistemas, espacios o datos, y que ese acceso se revoca tan pronto como alguien ya no lo necesita. Para una empresa de instalación, esto va más allá de una política de contraseñas en la oficina: también abarca llaves de las instalaciones del cliente, tarjetas de acceso a espacios técnicos, y acceso remoto a sistemas de gestión de edificios que sus técnicos mantienen.
La razón por la que este tema aparece constantemente en cuestionarios de seguridad es simple: un técnico que puede acceder sin contraseña a un sistema de calefacción, o un exempleado que todavía puede entrar con una llave en una sala de servidores, es exactamente el tipo de riesgo que el deber de diligencia de un cliente debe vigilar. Quien responde a esa pregunta con un encogimiento de hombros pierde un contrato más rápidamente que quien puede dar una respuesta breve y honesta.
Dos tipos de acceso, un registro
En una empresa de instalación, dos mundos se entrelazan. Por un lado, existe el acceso a sus propios sistemas: la administración, el software de planificación, el correo electrónico. Por otro lado, existe el acceso físico y digital en las instalaciones del cliente: llaves, códigos de alarma, conexiones VPN a un sistema de gestión de edificios, cuentas de acceso a un control climático que se gestiona de forma remota.
Ambos caen bajo la misma pregunta: quién puede acceder y por qué. Un registro actualizado en el que conste por sistema o por llavero quién tiene acceso, desde cuándo, y quién lo aprobó, es suficiente para la mayoría de empresas de instalación para responder a esta pregunta. No necesita ser un sistema complicado; un resumen que sea exacto y que pueda mostrar tiene más peso que una política exhaustiva que nadie cumple.
Llaves y tarjetas: la parte olvidada del control de acceso
Muchas empresas de instalación piensan inmediatamente en credenciales de acceso al hablar de control de acceso, y olvidan el lado físico. Los llaveros de ubicaciones de clientes, las tarjetas de acceso a espacios técnicos y los códigos de sistemas de alarma son tan importantes como una contraseña, y merecen la misma disciplina: registrar quién tiene cada llave, cuándo se le entregó, y establecer un momento fijo para recuperarla o revocarla.
Esto a menudo solo se hace evidente cuando las cosas salen mal: un técnico que deja el trabajo pero todavía tiene en el coche un llavero de tres clientes, o un subcontratista que después de completar un proyecto todavía puede acceder a una cuenta de administrador. Un cliente que le formula esta pregunta a través de un cuestionario de seguridad quiere saber principalmente si usted evita structuralmente este tipo de situaciones, no si alguna vez ha ocurrido algo malo.
Acceso remoto a sistemas en las instalaciones del cliente
Las empresas de instalación que supervisan o intervienen de forma remota en sistemas en las instalaciones del cliente, por ejemplo para diagnóstico de fallos en una instalación climática o un sistema de gestión energética, a menudo necesitan su propio canal de acceso: una VPN, una conexión de escritorio remoto, o una plataforma propia del proveedor. Ese canal de acceso es precisamente el tipo de enlace sobre el que un cliente con deber de diligencia pregunta, porque una debilidad en su empresa se puede traducir directamente en un riesgo para él.
Las preguntas que aparecen con frecuencia en esto se refieren a verificación de múltiples factores en ese acceso remoto, quién gestiona las cuentas, y qué sucede si un portátil con ese acceso es robado. No es necesario tener una respuesta técnica exhaustiva a cada pregunta; lo que sí es necesario es saber quién en su organización otorga y revoca este tipo de acceso, y registrarlo en algún lugar.
Dónde encaja esto en el panorama general
El control de acceso es una de las medidas incluidas en la obligación de diligencia debida, y esa obligación suele no afectar directamente a las empresas de instalación porque ellas mismas están sujetas a la ley, sino porque un cliente que sí está obligado se la requiere. Quién aún no sabe si eso aplica a su propia situación puede verlo en un par de preguntas. Para quién ya ha recibido la pregunta y quiere saber cómo se relaciona el control de acceso con las otras nueve medidas, hay un resumen completo desarrollado por tema.
No corresponde a un proveedor de una plataforma como secria.eu determinar qué es suficiente en su caso específico; esa evaluación sigue siendo responsabilidad suya o, en caso de duda, de un asesor legal o de la autoridad competente. Lo que sí se puede hacer es: mantener un registro honesto y actualizado de quién puede acceder a qué, para que un cuestionario de seguridad no sea una sorpresa sino un formulario que pueda completar en pocos minutos. Más detalles sobre cómo se construye en la práctica un registro así están descritos en la página que muestra de dónde procede la información en el dossier.
¿Quiere ver primero si este tema es relevante para su organización y qué contiene exactamente un dossier para ello? Realice el escaneo rápido gratuito u hojee los temas; ambos se pueden consultar sin cuenta y dan una respuesta inmediata y concreta.