La seguridad de una empresa no depende únicamente de cámaras, alarmas o sistemas informáticos. También depende de algo mucho más cotidiano: saber quién puede entrar, a qué zonas tiene acceso y durante cuánto tiempo conserva ese permiso.
Con el paso de los meses, es habitual que se acumulen tarjetas, llaves, códigos y autorizaciones que ya no responden a las necesidades reales de la organización. Antiguos empleados, proveedores que terminaron su servicio o permisos creados para situaciones puntuales pueden seguir activos sin que nadie lo advierta.
Realizar una auditoría de accesos permite detectar estas situaciones, corregir vulnerabilidades y recuperar el control sobre las instalaciones. No tiene por qué ser un proceso complejo, siempre que se aborde de forma ordenada.
¿Qué es una auditoría de accesos?
Una auditoría de accesos es una revisión sistemática de las personas, credenciales, permisos y registros relacionados con la entrada a las instalaciones de una empresa.
Su objetivo es comprobar que cada usuario dispone únicamente de los accesos que necesita para desarrollar su actividad y que no existen permisos antiguos, innecesarios o difíciles de identificar.
Una auditoría adecuada debe responder, al menos, a estas preguntas:
- ¿Quién tiene acceso a la oficina?
- ¿Qué zonas puede utilizar cada persona?
- ¿En qué horarios puede entrar?
- ¿Qué credenciales siguen activas?
- ¿Existen permisos de antiguos empleados o proveedores?
- ¿Se registran correctamente las entradas y salidas?
- ¿Hay accesos compartidos entre varias personas?
¿Por qué conviene realizarla periódicamente?
Los permisos de acceso cambian constantemente. Un empleado puede cambiar de departamento, un proveedor puede finalizar su contrato o una persona puede dejar la empresa sin que todos sus accesos se eliminen correctamente.
Cuando estas modificaciones no se revisan, la organización pierde visibilidad y aumenta su exposición a riesgos.
Una auditoría periódica ayuda a:
- Prevenir accesos no autorizados.
- Proteger zonas sensibles e información confidencial.
- Mejorar la trazabilidad ante cualquier incidencia.
- Reducir el uso compartido de tarjetas o llaves.
- Mantener actualizados los permisos del personal.
- Facilitar auditorías internas y procesos de cumplimiento.
- Detectar errores antes de que se conviertan en problemas de seguridad.
Paso 1: identificar todos los puntos de acceso
El primer paso consiste en elaborar un inventario completo de las entradas y zonas controladas de la empresa.
No debe revisarse únicamente la puerta principal. También pueden existir accesos en:
- Garajes y aparcamientos.
- Entradas secundarias.
- Almacenes.
- Archivos.
- Salas de servidores.
- Despachos de dirección.
- Zonas técnicas.
- Salas de reuniones.
- Espacios compartidos.
- Accesos entre plantas o departamentos.
Este inventario permite entender la estructura real de la oficina y detectar zonas que quizá no estén recibiendo el nivel de protección adecuado.
Paso 2: revisar el listado de usuarios activos
Una vez identificados los puntos de acceso, es necesario revisar todas las personas que disponen de permisos vigentes.
El listado debería incluir:
- Empleados.
- Directivos.
- Personal temporal.
- Becarios.
- Proveedores.
- Personal de limpieza.
- Técnicos de mantenimiento.
- Personal de seguridad.
- Colaboradores externos.
Conviene comparar esta información con los registros de Recursos Humanos, proveedores y responsables de departamento.
El objetivo es detectar usuarios que ya no deberían tener acceso o cuya relación con la empresa ha cambiado.
Paso 3: comprobar permisos por persona, zona y horario
No todas las personas necesitan entrar a todos los espacios ni hacerlo en cualquier momento.
Por eso, la auditoría debe revisar cada permiso teniendo en cuenta tres factores:
Persona
El acceso debe estar asociado a un usuario concreto y no a una credencial genérica o compartida.
Zona
Cada usuario debería acceder únicamente a las áreas necesarias para su trabajo.
Horario
Los permisos deben ajustarse al horario laboral o al periodo durante el cual la persona necesita entrar.
Por ejemplo, un proveedor de mantenimiento puede requerir acceso a una zona técnica durante dos horas, pero no a toda la oficina ni durante las veinticuatro horas del día.
Paso 4: localizar credenciales antiguas o sin identificar
En muchas empresas existen tarjetas, mandos, llaves o códigos cuyo propietario actual no está claro.
Estas credenciales representan un riesgo importante porque pueden seguir utilizándose sin que la organización sepa quién las tiene.
Durante la auditoría conviene localizar:
- Tarjetas sin usuario asignado.
- Llaves maestras sin registro.
- Códigos compartidos.
- Mandos de garaje antiguos.
- Credenciales de visitas que siguen activas.
- Copias físicas cuya cantidad se desconoce.
Cualquier acceso que no pueda asociarse claramente a una persona debería revisarse, desactivarse o sustituirse.
Paso 5: eliminar permisos de antiguos empleados y proveedores
La salida de un empleado o la finalización de un servicio externo debería activar un protocolo inmediato de baja de accesos.
Sin embargo, en la práctica, estos permisos no siempre se revocan a tiempo.
La auditoría debe comprobar que no continúen activos los accesos de:
- Antiguos empleados.
- Proveedores que ya no trabajan con la empresa.
- Personal temporal cuyo contrato terminó.
- Consultores externos.
- Visitantes frecuentes que ya no necesitan entrar.
Los permisos deben eliminarse de forma completa, incluyendo accesos secundarios, aparcamiento y zonas restringidas.
Paso 6: revisar los accesos compartidos
Las llaves, tarjetas o códigos compartidos impiden mantener una trazabilidad fiable.
Cuando varias personas utilizan la misma credencial, el registro deja de indicar quién accedió realmente.
La auditoría debe detectar estas prácticas y sustituirlas por credenciales individuales.
Esto permite:
- Identificar a cada usuario.
- Investigar incidencias con mayor precisión.
- Evitar que una credencial circule sin control.
- Revocar accesos sin afectar a otras personas.
Paso 7: analizar el historial de entradas y salidas
Los registros de acceso aportan información valiosa sobre el uso real de las instalaciones.
Durante la auditoría conviene revisar:
- Entradas fuera del horario habitual.
- Intentos fallidos de acceso.
- Uso de zonas no relacionadas con la función del usuario.
- Credenciales utilizadas después de una baja.
- Accesos repetidos o poco habituales.
- Actividad durante fines de semana o festivos.
No toda anomalía implica una incidencia, pero sí merece una revisión para comprobar si existe una explicación válida.
Paso 8: revisar los accesos de visitas y proveedores
Las personas externas suelen ser uno de los puntos más sensibles de la gestión de accesos.
Es importante comprobar:
- Cómo se autorizan sus entradas.
- Cuánto tiempo permanecen activos sus permisos.
- A qué zonas pueden acceder.
- Si existe un registro de cada visita.
- Si las credenciales se desactivan automáticamente.
- Si alguna llave o tarjeta física ha quedado en manos externas.
La opción más segura es utilizar accesos temporales vinculados a una fecha, un horario y unas zonas concretas.
Paso 9: comprobar que los procedimientos internos se cumplen
Una buena tecnología pierde eficacia si los procesos no se aplican correctamente.
La auditoría también debe revisar los procedimientos relacionados con:
- Altas de nuevos empleados.
- Cambios de departamento.
- Salidas de personal.
- Pérdida de credenciales.
- Accesos de emergencia.
- Gestión de proveedores.
- Visitas puntuales.
- Revisión periódica de permisos.
Cada proceso debe tener un responsable claro y un plazo definido para actualizar los accesos.
Paso 10: documentar los hallazgos y aplicar correcciones
La auditoría debe terminar con un informe sencillo y accionable.
Este documento puede incluir:
- Accesos que deben revocarse.
- Usuarios que necesitan permisos distintos.
- Credenciales sin identificar.
- Zonas que requieren más control.
- Procedimientos que deben actualizarse.
- Incidencias detectadas en el historial.
- Recomendaciones de mejora.
Las correcciones deben priorizarse según su nivel de riesgo y asignarse a una persona responsable.
Paso 11: establecer revisiones periódicas
La auditoría de accesos no debería realizarse una sola vez.
La frecuencia dependerá del tamaño y la actividad de la empresa, pero conviene establecer revisiones:
- Mensuales para organizaciones con alta rotación.
- Trimestrales para oficinas medianas.
- Semestrales para empresas con pocos cambios.
- Inmediatas después de una incidencia o reestructuración.
También es recomendable revisar los accesos cuando cambian equipos, proveedores, horarios o sedes.
Errores que conviene evitar durante la auditoría
Uno de los errores más habituales es limitarse a comprobar si una tarjeta funciona. Una auditoría completa debe analizar quién la utiliza, por qué la necesita y durante cuánto tiempo debe seguir activa.
También conviene evitar:
- Revisar únicamente la entrada principal.
- No consultar a Recursos Humanos.
- Mantener permisos por precaución.
- Ignorar los accesos de proveedores.
- No analizar el historial.
- Utilizar credenciales compartidas.
- No documentar las correcciones realizadas.
¿Cómo ayuda Temis Oficinas?
Temis Oficinas permite centralizar y simplificar todo el proceso de auditoría de accesos.
Desde una única plataforma es posible:
- Consultar los usuarios activos.
- Revisar permisos por zona y horario.
- Revocar accesos inmediatamente.
- Crear llaves temporales.
- Identificar entradas y salidas.
- Consultar el historial de accesos.
- Gestionar empleados, visitas y proveedores.
- Administrar distintas oficinas o sedes.
Esta visibilidad reduce el trabajo manual y facilita que los permisos se mantengan actualizados.
Conclusión
Realizar una auditoría de accesos permite descubrir vulnerabilidades que suelen permanecer ocultas en la operativa diaria.
No se trata únicamente de comprobar quién puede abrir una puerta. Se trata de garantizar que cada persona dispone del acceso correcto, durante el tiempo necesario y únicamente a las zonas que necesita.
Con procedimientos claros y una plataforma de gestión centralizada, la auditoría deja de ser una tarea compleja y se convierte en una herramienta útil para proteger a las personas, la información y los activos de la empresa.
Descubre cómo mejorar la gestión de accesos de tu oficina en:
