Con foco y disciplina, una pyme puede prepararse para una auditoría IAM en 14 días si se concentra en 5 frentes: inventario de sistemas y identidades, controles básicos (MFA/contraseñas), cuentas privilegiadas (PAM), recertificación “flash” y evidencias trazables. Aquí tienes el plan día a día, un checklist listo para copiar/pegar, KPIs y plantillas.
Por qué hacer esto ahora (y por qué en pymes)
- Tus clientes grandes y partners piden evidencias de control de accesos para aprobar contratos y renovaciones.
- Las pymes suelen tener stack híbrido (Entra ID/Azure AD†, Google Workspace, ERP, VPN, SaaS críticas) con controles dispersos.
- Una auditoría no espera: si ordenas identidades y privilegios primero, todo lo demás fluye (cumplimiento, respuesta a incidentes, continuidad).
†Entra ID es el nuevo nombre de Azure AD.
Alcance recomendado (pragmático y auditable)
- Aplicaciones críticas (Tier 0–1): correo corporativo, ERP/contabilidad, nómina, finanzas/tesorería, compras, CRM, VPN/VDI, nube (tenant).
- Tipos de identidades: humanas (empleados, contratistas), de servicio (integraciones, tareas), privilegiadas (dominio, admins de apps, DBAs).
- Controles mínimos a evidenciar: MFA, política de contraseñas, alta/baja/modificación (JML), gestión de privilegios, recertificación, registros de sesión y aprobación.
Plan de 14 días (día a día)
Plan de 14 días: Auditoría IAM para pymes
Plan de 14 días para preparar una auditoría IAM en pymes (México)
| Día |
Objetivo |
Entregable clave |
Quién lidera |
| 1 |
Kickoff, RACI y alcance |
Acta de inicio + RACI (TI, dueños de app, RRHH, Compliance) |
Dir. TI |
| 2 |
Inventario de sistemas y fuentes de identidad |
“Mapa de identidades v1.xlsx” |
Arquitecto / Sysadmin |
| 3 |
Descubrir cuentas humanas (empleados/externos) |
Listado con estado (activo/inactivo) y último login |
TI |
| 4 |
Descubrir cuentas de servicio |
Catálogo con propósito, dueño y rotación de secretos |
TI + DevOps |
| 5 |
Identificar cuentas privilegiadas |
Matriz “Privileged Accounts v1” (dominio, ERP, DB) |
TI / Seguridad |
| 6 |
MFA en apps críticas |
Evidencia: reporte de MFA habilitado por usuario/app |
TI |
| 7 |
Política de contraseñas y bloqueo |
Capturas de consola + export de política |
TI |
| 8 |
Recertificación flash (10 apps prioritarias) |
Bitácora de revisiones por dueño de app |
Dueños de app |
| 9 |
Baja de cuentas huérfanas |
Acta de remoción con ticket de respaldo |
Service Desk |
| 10 |
PAM “lite” (inventario + quick wins) |
Rotación de 10 cuentas críticas + registro de acceso |
Seguridad |
| 11 |
SoD express en ERP/finanzas |
Mini-matriz de conflictos y decisiones |
Finanzas + TI |
| 12 |
JML (Joiner-Mover-Leaver) |
Flujo documentado + 3 evidencias reales (alta/mov/baja) |
RRHH + TI |
| 13 |
Tablero y KPIs |
Dashboard con métricas (ver sección KPIs) |
Dir. TI |
| 14 |
Simulacro de auditoría |
Paquete de evidencias listo + lista de hallazgos y acciones |
Todos |
Checklist ejecutivo (copia y pega en tu gestor de tareas)
- Alcance aprobado y RACI firmado.
- Inventario de sistemas críticos y fuentes de identidad.
- Lista completa de usuarios activos/inactivos con último acceso.
- Catálogo de cuentas de servicio con dueño y propósito.
- Inventario de cuentas privilegiadas (dominio, ERP, DB, nube).
- MFA habilitado en correo, VPN y apps críticas (evidencia exportada).
- Política de contraseñas y bloqueo documentada + capturas.
- Recertificación de accesos en 10 apps prioritarias (aprobador, fecha, acción).
- Baja de cuentas huérfanas (tickets y logs).
- Rotación de 10 credenciales privilegiadas + registro de sesión.
- Matriz SoD express con al menos 5 conflictos evaluados.
- Flujo JML con 3 casos reales evidenciados.
- Dashboard con KPIs iniciales y objetivo a 90 días.
- Paquete de auditoría (ver nomenclatura abajo) compilado y compartido.
Evidencias que un auditor sí acepta (y cómo nombrarlas)
Usa nombres consistentes, fechas y formato exportable (CSV/XLSX/PDF con hash opcional).
- 01-Mapa-Identidades-YYYYMMDD.xlsx (fuentes, apps, tipos de cuenta)
- 02-UsuariosActivosInactivos-YYYYMMDD.csv (id, email, último login, estado)
- 03-CuentasServicio-YYYYMMDD.xlsx (sistema, propósito, dueño, rotación)
- 04-Privileged-Accounts-YYYYMMDD.xlsx (scope, owner, acceso, evidencia rotación)
- 05-MFA-Reporte-YYYYMMDD.pdf (por app/usuario, % habilitado)
- 06-Politicas-Password-YYYYMMDD.pdf (capturas + versión)
- 07-Recertificacion-Flash-YYYYMMDD.xlsx (app, aprobador, resultado, comentario)
- 08-Bajas-Huerfanas-YYYYMMDD.pdf (tickets y logs de deshabilitación)
- 09-SoD-Express-YYYYMMDD.xlsx (conflicto, riesgo, decisión, compensatorio)
- 10-JML-Casos-YYYYMMDD.pdf (alta/mov/baja con aprobadores y tiempos)
- 11-Dashboard-KPIs-YYYYMMDD.png (captura o export del tablero)
- 12-Simulacro-Auditoria-YYYYMMDD.pdf (resumen ejecutivo + hallazgos)
KPIs mínimos (realistas para pymes)
- Cobertura MFA en apps críticas: objetivo ≥ 90% (usuarios habilitados/usuarios totales).
- Cuentas huérfanas en fuente principal (directorio): 0 al día 14.
- Porcentaje de accesos retirados en recertificación flash: ≥ 8% (indicador típico de exceso de permisos).
- Cuentas privilegiadas con rotación aplicada: ≥ 70% de las identificadas como críticas.
- Tiempo de baja tras salida de empleado (JML): ≤ 24 h desde notificación RRHH.
SoD “express” (ejemplos rápidos para ERP/finanzas)
Matriz SoD “express” en ERP/finanzas
Segregación de funciones rápida para pymes (ejemplos)
| Proceso |
Conflicto SoD |
Riesgo |
Acción en 2 semanas |
| Compras |
Alta de proveedor y aprobación de pago |
Fraude / pagos ficticios |
Separar roles; si no es posible, habilitar aprobación dual + revisión semanal |
| Tesorería |
Registro y conciliación bancaria |
Ocultamiento de desvíos |
Segregar; si es el mismo usuario, realizar revisión cruzada por Finanzas |
| Inventarios |
Alta y ajuste/cancelación |
Inflado o robo de inventario |
Restringir ajustes a un rol; habilitar log y reporte quincenal |
Si hoy no puedes separar, documenta controles compensatorios y evidéncialos.
Recertificación “flash” en 48 horas (cómo hacerlo sin bloquear al negocio)
- Selecciona 10 aplicaciones con mayor impacto (correo, ERP, nómina, finanzas, VPN, CRM).
- Asigna dueños de aplicación (no TI) y envía lotes de 50–100 usuarios.
- Pide tres decisiones por usuario: Mantener / Reducir / Revocar + comentario obligatorio.
- Establece fecha de cierre y envía recordatorios automáticos a las 24 y 36 h.
- Aplica cambios en bloque (revocaciones primero) y exporta evidencias.
FAQ
¿Esto sustituye una herramienta IAM/PAM completa?
No. Es un acelerador para pasar una auditoría inicial y ordenar la casa. Después, planifica consolidar herramientas y automatizar.
¿Qué pasa si uso Google Workspace y no Entra ID?
El enfoque es el mismo: inventario, MFA, recertificación, privilegios y evidencias exportables.
¿Necesito un GRC?
No es imprescindible. Con un gestor de tickets y carpetas ordenadas ya puedes sostener la auditoría. Un GRC ayuda a escalar.
