Vacaciones: cómo evitar que los accesos temporales se vuelvan permanentes
En enero y febrero pasa lo mismo en muchas empresas: se redistribuyen tareas “por un par de semanas”, se comparten claves “para salir del paso” y se abren accesos “mientras vuelve el responsable”. El problema es que lo temporal tiende a quedarse.
Este artículo es ejecutivo y operativo. No busca “cubrirlo todo”, sino ayudarte a reducir un riesgo concreto de temporada: pérdida de control de accesos durante vacaciones, con medidas simples y de baja carga para el equipo técnico.
El riesgo silencioso de vacaciones: continuidad primero, control después… y ahí se abren puertas
Cuando falta gente, la prioridad es que la operación siga. Eso es razonable. Lo que no es razonable es sostener continuidad con prácticas que dejan puertas abiertas:
- Se comparten contraseñas por WhatsApp o correo.
- Se crean usuarios “de reemplazo” sin fecha de término.
- Se delegan accesos sin registro ni responsable.
- Se elevan permisos “por si acaso” y nadie los revierte.
En vacaciones baja la supervisión. Por eso, un error pequeño se vuelve un incidente grande.
Lo mínimo que deberías dejar resuelto antes de que el equipo se disperse (20-30 minutos)
No necesitas un proyecto. Necesitas tres definiciones claras.
1) Quién cubre qué (y con qué permisos)
- Define reemplazos por rol/función, no “a la rápida”.
- Entrega permisos mínimos para cubrir la tarea.
- Si el permiso es sensible, que tenga fecha de expiración o un recordatorio de reversa.
2) Un canal de emergencia (con dueño)
- Un solo canal: correo o teléfono de guardia.
- Un responsable de triage: quién recibe, filtra y escala.
3) Registro mínimo
- Qué acceso se entregó, a quién, por qué y hasta cuándo.
Nota ejecutiva: si solo haces una cosa, que sea esta: prohibir el intercambio de contraseñas y resolver continuidad con delegaciones/permisos formales.
Las 6 fugas típicas de vacaciones (las que después nadie revierte)
Estas son las causas habituales de “no sabemos cómo pasó” en marzo.
- Cuentas compartidas para cubrir turnos.
- Permisos elevados que nunca vuelven a su nivel normal.
- Accesos remotos (VPN/RDP/portales) habilitados “solo por febrero”.
- Reglas de reenvío y delegaciones de correo mal configuradas.
- Dispositivos personales usando accesos corporativos sin control.
- Alertas sin responsable (llegan, pero nadie las mira).
No se trata de revisar “todo el ecosistema”. Se trata de cerrar estas fugas recurrentes.
Qué debería exigir gerencia (sin volverse técnica)
La seguridad en vacaciones no se resuelve con comprar herramientas. Se resuelve con control mínimo. Gerencia debería poder pedir y obtener respuestas claras a estas preguntas:
- ¿Quién recibe alertas y a qué hora las revisa?
- ¿Se entregaron accesos temporales? ¿A quién y hasta cuándo?
- ¿Existe alguna cuenta compartida activa?
- ¿Hay MFA activo en cuentas críticas?
- Si mañana cae el correo o hay sospecha de phishing, ¿quién decide y quién ejecuta?
Si la respuesta es “depende” o “no sé”, el problema no es técnico: es de gobernanza.
Cómo dejarlo a prueba de olvido (sin sobrecargar al equipo)
Una forma simple y realista para PyMEs:
- Plantilla de vacaciones de 1 página:
- reemplazos
- accesos temporales
- canal de emergencia
- checklist de reversa (qué se deshabilita al volver)
- Un responsable (siempre el mismo rol) que confirme cierre y reversa.
- Revisión de retorno (10 minutos en marzo):
- desactivar accesos temporales
- bajar privilegios
- revisar reglas de reenvío
- confirmar que alertas tienen dueño
Esto reduce trabajo reactivo después. Y evita que “lo temporal” se vuelva permanente.
Cierre ejecutivo
Vacaciones exige continuidad, pero continuidad sin control sale cara. Si defines reemplazos, evitas contraseñas compartidas y dejas accesos temporales con fecha y responsable, reduces gran parte del riesgo estacional.
