Cada cuenta del bufete es una puerta. Este artículo trata de quién tiene llave, qué abre cada llave y cómo mantener esa lista al día cuando llegan personas, cambian de puesto o se van.
Nuestro artículo sobre el portal de clientes explica cómo llegan los clientes al bufete. Este trata del personal propio y de los proveedores.
El problema
Un bufete pequeño crece sumando personas y herramientas. Nadie retira el acceso del pasante que se fue, del temporal que cubrió una baja ni del proveedor que terminó un proyecto.
Un acceso compartido ahorra unos minutos y le cuesta al bufete la posibilidad de decir quién abrió un archivo.
Qué se sabe
No encontramos ninguna cifra independiente que pudiéramos verificar sobre cómo afectan los problemas de acceso a los bufetes, y no damos ninguna.
La idea que repiten las guías de seguridad se llama mínimo privilegio: cada persona, y cada programa, recibe solo el acceso que necesita su trabajo. Sirve para limitar el daño de un error o de una contraseña robada, y también simplifica las salidas.
Si un asunto concreto debe quedar separado de parte del personal es una cuestión para su abogado, no para este artículo.
Qué hacer
- Dé a cada persona una cuenta con su nombre y ponga fin a los accesos compartidos, incluido el de la recepción
- Defina unos pocos perfiles, como abogado, paralegal, asistente, facturación y administrador, y diga qué puede abrir cada uno
- Reserve los derechos de administrador para las pocas personas que los necesitan, y use una cuenta aparte para administrar, no para el trabajo diario
- Escriba una lista de comprobación para las llegadas y las salidas, y aplíquela siempre: cuentas, equipos, reenvíos del correo, enlaces compartidos, acceso desde el teléfono y llaves
- Retire el acceso de quien se va en su último día, o antes si la salida no es amistosa
- Dé al personal temporal, a los consultores externos y a los proveedores cuentas que terminen en una fecha, y anote quién las aprobó
- Revise la lista de cuentas y perfiles en fechas fijas, y pida a cada responsable de equipo que confirme quién sigue necesitando qué
Cuándo mantenerlo simple
- El bufete es muy pequeño y todos trabajan en todo, así que bastan unos pocos perfiles
- La herramienta no permite fijar permisos por debajo de la cuenta entera, y las reglas adicionales solo crearían rodeos
- Nadie tiene tiempo de revisar la lista, y en ese caso importa más la lista de comprobación de las salidas que los perfiles detallados
Qué mirar al implementarlo
- Si cada sistema puede mostrar quién tiene cuenta, qué perfil tiene y cuándo entró por última vez
- Si el proveedor guarda un registro de quién abrió o cambió un archivo, y por cuánto tiempo
- Si los enlaces compartidos fuera del bufete pueden caducar y se pueden desactivar
- Si el correo, los archivos y los asuntos de quien se va tienen a una persona designada que se haga cargo
- Si los proveedores usan cuentas propias con su nombre y no el acceso de alguien del bufete
- Pruebe una salida con una cuenta de reserva antes de necesitarla