La escena se repite: alguien pide “el usuario y contraseña del sistema” por WhatsApp para sacar un reporte urgente. La operación tiene que avanzar, el cierre del mes no espera, y el sistema “de toda la vida” queda como cuello de botella.

Lo visible es simple: falta orden con accesos. Lo delicado es lo que eso provoca en dinero, continuidad y responsabilidad sobre datos.

Lo que todos ven

• Un usuario genérico (tipo ventas/ventas) que “usa todo el equipo”.
• Contraseñas en notas, Excel o correos reenviados.
• Permisos por costumbre: “déjalo con acceso total, por si acaso”.
• Cuentas de gente que ya no está, pero siguen activas.
• Acceso remoto del proveedor y nadie tiene claro con qué permisos, desde dónde y cuándo.

En la superficie parece un tema de orden. En la práctica es un tema de control.

Lo que realmente está pasando

En sistemas heredados, la seguridad casi nunca se rompe por “hackers de película”. Se rompe por cosas terrenales:

1) No hay identidad individual confiable

Si varias personas usan el mismo usuario, no hay respuesta para preguntas básicas:

• ¿Quién hizo el cambio?
• ¿Quién exportó datos?
• ¿Quién borró un registro?
• ¿Quién autorizó una devolución o un descuento?

Sin identidad individual, no hay trazabilidad. Y sin trazabilidad, no hay control operativo.

2) Permisos sin modelo (o con el modelo roto)

Muchos legacy crecieron a base de parches: a alguien le “faltaba acceso” y se le dio acceso a todo. Con el tiempo se acumulan privilegios que nadie revisa.

Eso abre dos riesgos:

• Riesgo interno: errores caros o abuso (precios, descuentos, borrados, exposición de información).
• Riesgo externo: credenciales filtradas, accesos remotos sin caducidad, contraseñas reutilizadas.

3) Datos sensibles sin controles mínimos alrededor

No es solo “tener datos”, es cómo los proteges:

• Exportaciones masivas a Excel sin registro.
• Carpetas compartidas sin permisos finos.
• Backups en equipos personales.
• Acceso desde redes no controladas.

Cuando hay un incidente, no solo se pierde información: se pierde tiempo, se frena la operación, se afecta ventas y se erosiona la confianza.

Hacia dónde va esto

Los sistemas heredados todavía importan, pero el entorno cambió:

• Más integraciones (CRM, BI, e-commerce, facturación, logística).
• Más exposición (nube, trabajo híbrido, accesos remotos).
• Más automatización (scripts, RPA, conectores) que necesitan credenciales.
• Y vienen capas de IA y agentes que “actúan” sobre sistemas.

El legacy, por sí solo, rara vez trae los controles que hoy se esperan. Hay que sumar controles por fuera o por encima:

• Gestión de identidad y acceso (IAM) donde aplique.
• Registro y auditoría útil.
• Políticas de mínimo privilegio.
• Roles y segregación.
• Buenas prácticas de credenciales (y MFA donde se pueda).

La pregunta de negocio no es “¿cambiamos el sistema mañana?”. La pregunta es: ¿cómo bajamos el riesgo esta semana sin frenar la operación?

Cómo lo trabajamos en Byte IT

No arrancamos instalando herramientas. Arrancamos entendiendo cómo se trabaja de verdad, porque ahí es donde se cuela el riesgo.

Aplicamos el método Byte IT:

1. Escuchamos
   Hablamos con dirección, operación, TI y líderes de área. Buscamos el mapa real: quién entra, para qué, qué se exporta, qué duele.

2. Entendemos
   Traducimos el sistema antiguo a lenguaje de negocio:

• Procesos críticos (ventas, cobros, inventario, atención, facturación).
• Puntos de fricción (apuros, atajos habituales, dependencias de una persona).
• Datos sensibles (clientes, precios, comisiones, márgenes, bancos, nómina, etc.).

3. Detectamos el problema real
   Suelen aparecer patrones como:

• Usuario compartido para “no complicar”.
• Permisos heredados sin revisión.
• Acceso remoto de proveedor sin caducidad.
• Logs inexistentes o inútiles.
• Integraciones con credenciales duras en scripts.

4. Proponemos una solución con propósito
   Priorizamos con criterio, no con una lista infinita:

• Primero: identidad y acceso.
• Luego: reducir privilegios.
• Después: trazabilidad.
• Y recién ahí: automatizar con seguridad.

5. Construimos con la tecnología correcta
   Depende del caso, pero suele incluir:

• Usuarios individuales y política de contraseñas.
• Roles por puesto con permisos mínimos.
• Caducidad de accesos (altas/bajas y permisos temporales).
• Bitácora/auditoría: qué se cambió, cuándo y por quién.
• Control de accesos de terceros (VPN, escritorio remoto, llaves, horarios).
• Gestión de credenciales (vault/administrador) para scripts e integraciones.

6. Medimos
   Si no se mide, se vuelve a lo mismo. Métricas típicas:

• % de usuarios compartidos eliminados.

• de cuentas huérfanas cerradas.

• de roles definidos vs. “acceso total”.

• de accesos de terceros con caducidad.

• Tiempo para alta/baja de usuario.

7. Ajustamos
   Los permisos perfectos no existen en el día 1. Ajustamos con operación real, sin perder control.

8. No soltamos hasta que funcione
   Que quede “bonito” en un documento no sirve. Tiene que funcionar en cierre, en día pico, con rotación de personal y con proveedores.

Caso práctico

Situación: empresa de distribución con un sistema heredado para pedidos e inventario.

• En comercial, 8 personas usan el mismo usuario “VENTAS”.
• El jefe de bodega tiene acceso total “porque a veces ayuda”.
• Para reportes, exportan a Excel y lo suben a una carpeta compartida.
• Un proveedor entra por escritorio remoto “a dar soporte”, sin horario y sin registro claro.

Lo que explota (realista)
Un lunes aparecen ajustes de precios y descuentos fuera de política en varios pedidos. Nadie puede asegurar quién lo hizo. Se pierden horas revisando, se detienen entregas y se negocian notas de crédito. El costo no es solo el descuento: es el tiempo y la desconfianza interna.

Intervención (pasos concretos)

1. Se crean usuarios individuales para ventas y bodega.
2. Se definen roles: venta (cotiza/crea pedido), supervisor (autoriza descuento), bodega (prepara), administración (factura). Nadie necesita “todo”.
3. Se activan/centralizan logs: cambios de precio, descuentos, anulaciones, exportaciones.
4. Se elimina el acceso remoto abierto: soporte del proveedor con ventana horaria, usuario nominal y registro de sesión.
5. Se ordena la carpeta de reportes: permisos por equipo y un flujo simple para exportaciones relevantes.

Resultado operativo

• Cuando hay una anomalía, se ve quién y cuándo.
• Los descuentos dejan rastro de autorización.
• Las bajas de personal no quedan “pendientes”.
• El proveedor sigue dando soporte, pero con control.

No es magia. Es control mínimo bien implementado.

Lección de negocio

En sistemas antiguos, la seguridad no es un “proyecto de TI”. Es un seguro operacional.

Si no sabes quién hizo qué, terminas gestionando por sospecha, frenando decisiones o aceptando pérdidas como “parte del negocio”. Con identidad, permisos y auditoría, se opera con más confianza y se corrige más rápido.

La meta no es complicar la vida. Es que el negocio crezca sin que el sistema (y sus accesos) se vuelva un riesgo silencioso.

Checklist final

Revisión rápida y accionable para tu sistema actual:

1. Usuarios

• ¿Cada persona tiene usuario individual (sin compartidos)?
• ¿Las cuentas de excolaboradores se desactivan el mismo día?
• ¿Hay cuentas “de servicio” identificadas y justificadas?

2. Credenciales

• ¿Contraseñas fuera de Excel/WhatsApp?
• ¿Política mínima: longitud, caducidad razonable, no reutilización?
• ¿MFA donde sea posible (correo, VPN, accesos remotos)?

3. Permisos

• ¿Existen roles por puesto?
• ¿Se aplica mínimo privilegio (solo lo necesario)?
• ¿Los permisos temporales tienen fecha de caducidad?

4. Trazabilidad

• ¿Se registran cambios críticos (precios, descuentos, anulaciones, exportaciones)?
• ¿Los logs se pueden leer y sirven cuando hay incidentes?

5. Terceros e integración

• ¿El proveedor accede con usuario nominal y horario definido?
• ¿Las integraciones (scripts, conectores) usan credenciales protegidas (vault)?

FAQ (5 preguntas)

1) “¿De verdad es tan grave tener un usuario compartido si confiamos en el equipo?”
Sí, por una razón práctica: cuando ocurre un error (o una anomalía), no puedes corregir la causa. La confianza no reemplaza la trazabilidad.

2) “Nuestro sistema antiguo no soporta roles ni auditoría. ¿Entonces qué?”
Dos caminos: (a) exprimir lo que sí permite (usuarios, permisos básicos, bitácoras parciales) y (b) sumar controles alrededor: VPN, control de sesiones, registro de accesos, gestión de credenciales, segmentación de red.

3) “¿Esto no va a frenar a ventas u operación?”
Si se implementa con criterio, no. Se diseña por proceso (cotizar, aprobar, facturar) y se ajusta con el equipo. La meta es que la operación avance con menos riesgo.

4) “¿Qué es lo primero que debería hacer esta semana?”
Tres acciones de alto impacto: plan para eliminar usuarios compartidos, cerrar cuentas huérfanas y ordenar accesos de terceros (proveedores) con usuario nominal y caducidad.

5) “¿Cómo sé si mi empresa está más expuesta que antes?”
Si aumentaron integraciones, accesos remotos, exportaciones de datos o rotación de personal, tu exposición creció aunque el sistema sea el mismo.

Cierre útil: si tu sistema heredado sigue siendo el corazón de la operación, no necesitas una revolución para estar mejor. Necesitas controles mínimos bien pensados: identidad, permisos y trazabilidad. Si lo quieres ordenar sin frenar al negocio, lo trabajamos contigo: entendemos la operación, construimos, medimos y ajustamos hasta que quede funcionando.