La fuga más frecuente en PyMEs no empieza con un exploit: empieza con una carpeta "Compartida" donde todo el mundo tiene control total "porque así es más fácil". Meses después, un exempleado, un proveedor o un enlace anónimo siguen dentro. Corregir permisos duele un día; no corregirlos duele en la auditoría o en el incidente.
Este artículo lista los errores que se repiten y el orden para limpiarlos sin tumbar la operación.
Tipos de permiso y errores frecuentes
Lectura, escritura, modificar y control total no son lo mismo. Dar control total "por si editan" abre el camino a borrar o cambiar permisos. El error frecuente es igualar "necesita trabajar aquí" con "dueño de la carpeta".
Otro error: permisos directos a usuarios mezclados con grupos, hasta que nadie sabe por qué María sigue viendo Finanzas. La base es clasificar primero, como en clasificación de la información, y luego mapear grupos.
Permisos heredados y carpetas públicas
La herencia hace que una carpeta hija copie lo del padre. Si el padre es "Todos: modificar", las subcarpetas "confidenciales" también lo son aunque el nombre diga lo contrario. Hay que romper herencia solo donde haga falta y documentarlo.
- Evitar "Everyone" o "Usuarios autenticados" en datos de negocio
- Revisar enlaces de OneDrive/SharePoint con acceso anónimo
- No usar el escritorio de un usuario como archivo de la empresa
Las carpetas públicas del NAS o del servidor de archivos son el primer lugar a auditar.
Grupos por rol en lugar de personas
Grupos Contabilidad-Lectura, Contabilidad-Edición, RRHH-Restringido: el empleado entra o sale del grupo, no de veinte carpetas. Eso acelera altas y bajas y reduce olvidos. Coincide con el enfoque de control de acceso empresarial.
Los permisos directos a una persona se reservan para excepciones temporales con fecha de caducidad.
Bajas de personal y accesos huérfanos
El checklist de baja debe incluir: quitar de grupos, desactivar cuenta, revisar buzones compartidos y recuperar laptops. Sin checklist, quedan cuentas en "lectura" años después. Proveedores con cuenta propia también se revisan al terminar el contrato.
Los accesos huérfanos son exactamente lo que un atacante con phishing aprovecha: credenciales viejas que nadie vigila.
Revisión periódica y bitácora de cambios
Cada seis meses: exportar permisos de las carpetas restringidas, listar usuarios fuera de grupos esperados y cerrar excepciones vencidas. Guardar quién autorizó cada cambio. Si el ransomware llega, saber qué estaba abierto ayuda a acotar el alcance; los respaldos siguen siendo la red de seguridad en copias contra ransomware.
Ordenar permisos no es un proyecto eterno: es una pasada por las carpetas críticas, grupos por rol y una revisión en el calendario. Con eso, el archivo compartido deja de ser la puerta trasera de la empresa.
