Espacio colaborativo para documentos

Un enlace de carpeta compartida, una vez reenviado, sigue funcionando para quien lo tenga. No hay registro de quién acabó teniéndolo, ni forma de revocar el acceso a una persona sin romperlo para todas.

Los adjuntos son peores de otra manera: una copia vive en cada bandeja por la que pasó, más cada copia de seguridad y cada carpeta de enviados de la cadena. Borrar el original no cambia esas copias.

Ninguno de los dos fallos parece un incidente. El acceso se acumula en silencio, hasta que un empleado que se fue, un subcontratista antiguo o un enlace reenviado hace tiempo sigue siendo una puerta abierta a los documentos de un cliente que nadie recuerda.

Los permisos de carpeta preguntan «quién puede abrir esta unidad», y esa es la pregunta equivocada. La correcta es «quién debe ver el expediente de este cliente», y eso cambia según el caso y la persona, no según la carpeta.

El acceso por roles responde a eso: un revisor solo ve los expedientes que tiene asignados, un cliente solo ve su propia petición, y un responsable ve al equipo sin que cada revisor vea todo el ámbito del responsable.

Revise el acceso con un ritmo, no solo cuando alguien se va. Un acceso que tenía sentido al abrir un expediente rara vez se revisa al cerrarlo, y así es como se acumula el acceso obsoleto.

Una contraseña compartida o es fácil de recordar, y por tanto de adivinar, o es imposible de recordar, y acaba apuntada en un sitio inseguro. En ambos casos no caduca sola y no identifica quién la usó.

Un enlace mágico ligado al correo de una persona y a una ventana de validez limitada resuelve las dos cosas: identifica al destinatario y deja de funcionar solo, en lugar de exigir que alguien recuerde desactivarlo.

Importa sobre todo con colaboradores externos — clientes, subcontratistas, revisores puntuales — que necesitan acceso durante un expediente y nada más. Una cuenta permanente para un colaborador de una sola vez es deuda de acceso desde el primer día.

El cifrado en tránsito y en reposo es un mínimo, no un diferenciador. Pregúntelo, pero no se quede ahí. La pregunta más útil es dónde están físicamente los datos y bajo las reglas de qué jurisdicción.

Pida la lista completa de subencargados, no solo la afirmación del proveedor principal. El envío de correo, las copias de seguridad y las herramientas de registro suelen ser servicios distintos, y un espacio puede estar alojado en la UE sobre el papel mientras uno de esos subencargados no lo está.

Pregunte qué ocurre con un documento tras borrarlo: si sale de las copias de seguridad según un calendario o se conserva indefinidamente. «Borrado» debe tener un significado definido, no ser una acción de interfaz que solo oculta el archivo.

Registre los eventos de acceso — quién vio, descargó o aprobó un documento, y cuándo — aparte de los documentos. Ese registro permite responder a «quién vio esto» sin reabrir el archivo.

No recoja de más en nombre de la seguridad. Registrar el contenido entero de los documentos en un feed de actividad solo duplica datos sensibles en un segundo sitio que también hay que proteger.

Controle también el acceso al propio registro. Un detalle de quién accedió a qué es sensible por sí mismo, y no debería estar más abierto que los documentos que sigue.