Acceso remoto de proveedores tecnológicos: cómo controlarlo sin frenar el servicio

Lectura estimada: 8 minutos.

Cuando una cámara deja de grabar o un switch presenta una falla, agradecerás que el proveedor pueda entrar rápido. El problema no es el soporte remoto en sí; el problema es no saber quién entró, a qué llegó y si su acceso sigue activo cuando el trabajo terminó. La confianza se puede mantener con reglas claras y registros simples.

Empieza por un inventario de accesos

Lista cada proveedor, la herramienta que utiliza, los sistemas que puede tocar y la persona interna que aprueba su intervención. Si el acceso vive en una cuenta genérica, no puedes atribuir acciones. Si todos usan una cuenta de administrador, tampoco puedes aplicar mínimo privilegio.

Una autorización de cinco preguntas

1. ¿Qué incidente o tarea justifica el acceso?
2. ¿Qué ventana de tiempo necesita el proveedor?
3. ¿Qué equipo y qué función están dentro del alcance?
4. ¿Quién observa o revisa la sesión?
5. ¿Cómo se confirmará el cierre?

La autorización puede ser un ticket, una bitácora o un formato interno, pero debe existir antes de abrir la puerta digital. En una emergencia, se documenta al menos quién aprobó y qué se hizo; después se completa el registro.

MFA, VPN y cuentas con fecha de caducidad

Activa autenticación multifactor donde sea posible, exige cuentas individuales y evita publicar paneles de cámaras, NVR o switches con puertos abiertos sin necesidad. Un acceso temporal debe expirar automáticamente o, como mínimo, tener una tarea de revocación asignada. El proveedor no necesita acceso a toda la red para actualizar un firmware.

Revisa después de la visita

Confirma que la cuenta temporal se cerró, revisa los registros, anota cambios de configuración y pide evidencia de la versión instalada. Si apareció una herramienta de acceso remoto nueva, decide si se autoriza, se documenta o se elimina. Los contratos también deben indicar cómo se reportan incidentes y quién conserva los logs.

TECYPE puede ayudarte a ordenar una matriz de accesos para cámaras, redes, alarmas y control de acceso, con roles y procedimientos que tu equipo pueda aplicar. Solicita una evaluación en Mérida para reducir accesos permanentes sin bloquear el soporte que sí necesitas.

Fuentes consultadas: Guide to Securing Remote Access Software de CISA y guía de CISA sobre autenticación multifactor.