Un sistema administrativo concentra lo más sensible de tu empresa: clientes, precios, inventarios, pagos y datos del personal. Su seguridad no depende de una sola función, sino de varios controles básicos que se revisan con regularidad. Usa esta lista para evaluar el sistema que ya tienes o para exigir requisitos claros a un proveedor.
¿Qué controles mínimos debe tener un sistema administrativo?
Estos ocho controles cubren los riesgos más comunes en una empresa pequeña o mediana. Si alguno no se cumple, ahí está tu prioridad.
| Control | Qué revisar | Señal de alerta |
|---|---|---|
| Autenticación | Usuario individual, verificación en dos pasos, bloqueo por intentos fallidos | Varias personas comparten un mismo usuario |
| Roles y permisos | Cada usuario ve y hace solo lo que su función requiere | Todos tienen acceso de administrador |
| Bitácora | Registro de quién hizo qué, cuándo y qué cambió | Nadie puede decir quién modificó un precio |
| Respaldos | Automáticos, fuera del servidor principal y probados | Nunca se ha restaurado un respaldo |
| Cifrado | Conexión segura en todo el sistema y datos cifrados en reposo | El navegador marca el sitio como no seguro |
| Actualizaciones | Parches de seguridad aplicados con calendario | Servidor o componentes sin soporte del fabricante |
| Ambientes | Pruebas y producción separados | Los cambios se prueban directamente con datos reales |
| Datos personales | Aviso de privacidad, atención de derechos ARCO, acceso restringido | No sabes qué datos personales guardas ni dónde |
Accesos: autenticación y roles
El riesgo más frecuente no es un ataque sofisticado, sino un acceso mal controlado: contraseñas compartidas, exempleados con usuario activo o permisos de más. Revisa que:
- Cada persona tenga su propio usuario, sin cuentas compartidas.
- La verificación en dos pasos esté activa, al menos para administradores y para quien maneja pagos, precios o datos personales.
- El sistema bloquee temporalmente el acceso después de varios intentos fallidos y cierre la sesión por inactividad.
- Las contraseñas se almacenen de forma irreversible, de modo que nadie, ni el proveedor, pueda leerlas.
- Existan roles por función, por ejemplo, capturista, supervisor, finanzas y administrador, y, si aplica, por sucursal.
- Las bajas se apliquen el mismo día: cuando alguien sale de la empresa, su acceso se desactiva de inmediato.
- Los usuarios y permisos se revisen de forma periódica.
Si tu empresa ya usa cuentas de Google o Microsoft, el inicio de sesión con esas cuentas facilita controlar altas y bajas desde un solo lugar.
Bitácora: ¿quién hizo qué y cuándo?
Una bitácora o registro de auditoría permite reconstruir qué pasó con cualquier dato. Cada entrada debe guardar usuario, fecha y hora, acción, valor anterior y valor nuevo.
- Prioriza los movimientos sensibles: cambios de precio, descuentos, ajustes de inventario, cancelaciones, pagos y cambios de permisos.
- Registra también los intentos de acceso fallidos y las exportaciones masivas de información.
- Protege la bitácora: nadie, ni los administradores, debe poder editarla o borrarla desde el sistema.
- Define cuánto tiempo se conserva y quién puede consultarla.
Respaldos: ¿cuándo fue la última vez que restauraste uno?
Un respaldo que nunca se ha restaurado no es una garantía. Antes de definir la frecuencia, responde dos preguntas: cuánta información puedes permitirte perder y cuánto tiempo puede estar detenida tu operación. Después, verifica estos puntos:
- Respaldos automáticos con una frecuencia acorde a tu operación. Por ejemplo, si capturas pedidos todo el día, un solo respaldo nocturno puede ser insuficiente.
- Copias en una ubicación distinta al servidor principal, como otra región de la nube u otro proveedor.
- Al menos una copia protegida contra borrado o modificación, para resistir un secuestro de información (ransomware).
- Pruebas de restauración programadas, midiendo cuánto tiempo toman.
- Un responsable y un procedimiento por escrito para restaurar en caso de incidente.
Cifrado, actualizaciones y separación de ambientes
- Cifrado en tránsito: todo el sistema funciona con HTTPS y un certificado vigente, incluidas las conexiones con otros sistemas y API.
- Cifrado en reposo: la base de datos, los respaldos y los archivos adjuntos, como identificaciones, contratos o comprobantes, se almacenan cifrados.
- Credenciales protegidas: las contraseñas de la base de datos, las llaves de API y los certificados, como el Certificado de Sello Digital para facturar, no se guardan en el código ni se comparten por correo o WhatsApp.
- Actualizaciones: el sistema operativo, la base de datos, las librerías y el propio sistema reciben parches de seguridad con un calendario. Los componentes sin soporte se reemplazan.
- Ambientes separados: desarrollo, pruebas y producción son independientes. Los cambios se prueban antes de publicarse y los ambientes de prueba no usan datos personales reales.
- Monitoreo: existen alertas ante caídas, errores o accesos inusuales.
Estos controles dependen tanto de la infraestructura como del código, así que pregunta por ambos: un sistema bien programado en un servidor sin actualizar sigue siendo vulnerable.
¿Qué pide la ley mexicana sobre datos personales?
Si tu sistema guarda datos de clientes, prospectos o empleados, aplica la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. En términos generales, te obliga a:
- Contar con un aviso de privacidad que informe qué datos recabas, para qué los usas y con quién los compartes.
- Atender los derechos ARCO: que cada persona pueda solicitar el acceso, la rectificación o la cancelación de sus datos, u oponerse a su tratamiento, y que tengas un procedimiento para responder.
- Aplicar medidas de seguridad administrativas, técnicas y físicas proporcionales al riesgo.
- Recabar solo los datos necesarios y conservarlos únicamente el tiempo que se requieran.
- Proteger con más cuidado los datos sensibles, como los de salud, que exigen un consentimiento más estricto.
- Formalizar por contrato las obligaciones de los proveedores que tratan datos por cuenta tuya, como el de hospedaje o el de desarrollo.
Tu sistema puede facilitar el cumplimiento: consultar y exportar los datos de una persona, corregirlos, bloquearlos o eliminarlos, y registrar qué versión del aviso de privacidad aceptó. Si además usas inteligencia artificial, revisa cómo usar IA con la información de tu empresa de forma segura.
Cómo usar este checklist con tu proveedor
- Pide respuestas por escrito para cada punto de la tabla.
- Solicita evidencia: configuración de respaldos, fecha de la última prueba de restauración y un ejemplo de bitácora.
- Define responsabilidades en el contrato: quién aplica actualizaciones, quién responde ante un incidente y en cuánto tiempo. Te puede servir revisar qué debe incluir tu contrato de desarrollo.
- Programa una revisión al menos una vez al año o después de cambios importantes.
En UniqueCore diseñamos los sistemas con usuarios, permisos e historial de cambios, y te apoyamos con la infraestructura, los respaldos y el monitoreo según lo que se contrate. Si quieres revisar los controles de tu sistema actual, solicita un diagnóstico.
