El post-it estaba en el borde inferior derecho del monitor de Begoña. Era amarillo, un poco descolorido, con las esquinas dobladas por los años. Tenía escrito, con bolígrafo azul y letra pequeña, una palabra y un número: Almacen2018. Debajo, entre paréntesis, otra cosa: «(la del proveedor)».
Begoña no recordaba quién lo había puesto. Llevaba allí desde antes de que ella entrara. Cuando preguntaba, los compañeros se encogían de hombros. Era el acceso a la web del proveedor de aluminio. La compartían tres personas: Begoña, que hacía los pedidos pequeños; Domingo, el del taller, que hacía los grandes; y David, que se había ido hacía dos años a otra empresa, pero que cuando estaba era el que más entraba.
Domingo, el del taller, tenía la misma contraseña apuntada en una libreta de tapa negra que llevaba en el bolsillo del mono. Cuando alguien necesitaba entrar y no estaba Begoña, Domingo sacaba la libreta, dictaba la contraseña en voz alta y volvía al taller. A veces la dictaba a alguien que no era de la empresa. Un transportista, por ejemplo. El transportista necesitaba comprobar una referencia. Domingo se la dictaba. El transportista entraba desde su móvil.
Eso era un día normal en una empresa que funcionaba bien.
Lo que David hacía cuando entraba
David se fue en marzo de hace dos años. Se fue a una empresa más grande, en Alicante. Se llevó una buena relación, no hubo malas palabras, dejó hasta una caja de bombones en la oficina el día de su despedida.
El acceso al proveedor seguía activo. Nadie pensó en quitarlo. Para quitarlo había que llamar al proveedor, identificarse, esperar a que un técnico mirara, esperar a que confirmara. Era una llamada de veinte minutos. Y para qué, además, si David ya no iba a entrar.
David siguió entrando.
No con mala intención. David trabajaba ahora en una empresa que también compraba aluminio. Y conocía los precios que sacaba su antigua empresa. Y los precios cambiaban según el cliente, según el volumen, según el histórico. David, cada cierto tiempo, se metía con Almacen2018 y miraba los precios. Comparaba. Aprendía. Aplicaba.
No robaba. No copiaba. Solo miraba. Y los datos que veía, los usaba en su empresa nueva.
Nadie en la empresa antigua de David sabía nada de esto. Begoña tampoco. Domingo tampoco. El gerente, menos. Los precios de la empresa estaban siendo conocidos por un competidor desde hacía dos años, sin que nadie hubiera hecho nada mal, sin que nadie hubiera traicionado a nadie. Simplemente, una puerta se había quedado abierta.
El día que se descubrió
Se descubrió por casualidad. El comercial de la empresa antigua de David —no Begoña, otro, el de los clientes grandes— perdió tres concursos seguidos contra la empresa nueva de David. Tres concursos en seis meses. Los precios del competidor eran siempre un poco más bajos. No mucho. Lo justo.
El gerente, sin saber muy bien por qué, le pidió al informático externo —un chico que iba un día a la semana— que mirara los accesos a las webs de proveedores. El chico tardó media tarde. Llegó con una lista en un folio. Doce cuentas activas. De las doce, cuatro pertenecían a personas que ya no estaban en la empresa. Una era la de David.
—¿Esto se puede saber desde cuándo entran?
—Sí.
El chico abrió un panel. En la cuenta de David, el último acceso era de hacía once días.
El gerente se quedó mirando la pantalla. No dijo nada. Cerró el portátil.
Esa noche, en su casa, sumó mentalmente lo que podían haber sido tres concursos perdidos a precios ligeramente más bajos. Ciento cuarenta mil euros, aproximadamente. No durmió bien.
Lo que cuesta no tener accesos en orden
El coste de no controlar quién entra a las herramientas de la empresa no es solo el caso extremo —el ex empleado que mira los precios desde la empresa competidora—. Son cosas más pequeñas, más continuas, que pasan todos los días sin que nadie las note.
Cada acceso descontrolado es una puerta sin cerrar. Las empresas pequeñas tienden a pensar que son demasiado pequeñas como para ser objetivo de nadie. Es verdad y no es verdad.
El transportista al que Domingo le dicta la contraseña, y que un día la apunta también, por si acaso. El becario que se va y al que nadie le cierra el correo, y que durante meses sigue recibiendo notificaciones de pedidos. La cuenta compartida que tres personas usan, y de la que nadie sabe quién hizo qué, cuándo, ni por qué. El proveedor de software que tiene acceso al sistema de la empresa desde hace cinco años porque «era el de la instalación», y que sigue activo.
No son objetivo de un hacker que vaya a robarles datos para venderlos en internet. Son objetivo, sin querer, del ex empleado, del proveedor curioso, del transportista que algún día se hizo competidor.
Lo que se hace, cuando se decide hacerlo
El gerente llamó al chico del informático un martes. Le dijo dos cosas.
La primera: que pusiera orden. Una cuenta por persona. Contraseña propia. Nada de compartidas. Cuando una persona se va, se cierra. Una hoja, en un sitio visible, con todas las cuentas, todas las personas y la fecha del último cambio.
La segunda: que pensara cómo evitar que esto se olvidara. Porque el problema no era que nadie se hubiera preocupado. El problema era que no había un sitio donde la preocupación se materializara. Había buenas intenciones. No había proceso.
El chico hizo lo primero en dos semanas. Lo segundo se tardó tres meses: una pequeña herramienta interna, hecha a medida, donde el gerente podía ver, una vez al mes, todas las cuentas activas, quién las usaba, cuándo se habían usado por última vez. Si alguien dejaba la empresa, una casilla. Las cuentas se cerraban automáticamente. Si llevaban tres meses sin usarse, salían en rojo.
No era espectacular. No era una herramienta de la que se pudieran hacer demos en una feria. Era una herramienta que evitaba problemas que nunca llegarían a ocurrir. Lo cual es, probablemente, el tipo de herramienta más difícil de justificar y, a la vez, más necesario.
Begoña, una mañana
Begoña llegó una mañana y vio que el post-it ya no estaba. Lo había quitado el chico del informático el viernes anterior. En su sitio había un papelito impreso, con el logo de la empresa, y una frase corta:
Tu acceso es tuyo. No lo compartas. Si necesitas ayuda, pídela aquí.
Begoña se quedó mirándolo. Pensó en el post-it amarillo, en David, en los años que llevaban escribiendo Almacen2018 los tres. Pensó que tenía una contraseña nueva, solo suya, que el sistema le había pedido cambiar y que había escrito en otro post-it, en casa, en el cajón de la cómoda.
Algo había cambiado. Algo no.
Begoña encendió el ordenador. Empezó el día.
Las puertas que nadie revisa
Las contraseñas compartidas, las cuentas que se quedan abiertas cuando alguien se va, los proveedores con accesos eternos, los becarios con permisos que nadie revisa: cada acceso descontrolado es una puerta sin cerrar. No te roba un hacker. Te roba un ex compañero curioso, un proveedor sin malicia, un transportista que apuntó una contraseña en su móvil.
Una pequeña herramienta interna que diga, en una pantalla, quién tiene acceso a qué y cuándo lo usó por última vez no es espectacular. Es de las cosas más difíciles de justificar y, a la vez, más necesarias: evita problemas que, si funciona, no llegarán nunca a ocurrir.
¿Cuántas personas pueden entrar hoy a tus sistemas y ya no trabajan contigo?
Si en tu empresa no hay un sitio donde se vea quién tiene acceso a qué, la respuesta a esa pregunta es «no lo sé». Empecemos por verlo.
Hablemos de tus accesos