Atendí el teléfono de una panadería que perdió la base de datos de sus clientes. No fue un hacker ruso. Fue un empleado que se fue enojado y tenía todas las claves en un Excel compartido. La dueña me dijo, llorando: «Pero si confiaba en él». Y sí, confiaba. Pero la confianza no es una política de seguridad.
Ese día entendí que el problema no era la tecnología. Era que no había ni una regla escrita sobre cómo manejar las contraseñas del equipo. Así que te voy a contar, paso a paso, cómo armar una política de contraseñas para tu pyme que funcione de verdad. Sin chamuyo.
¿Por qué tu negocio necesita una política de contraseñas aunque seas vos solo?
Porque si hoy sos solo vos, mañana capaz tenés un empleado, un socio o un contador que necesita entrar a Mercado Pago, al home banking o a las redes del negocio. Y si no hay reglas, cada uno hace lo que puede. Lo vi mil veces: la clave del Instagram anotada en un papel pegado al monitor, la de Mercado Pago compartida por WhatsApp, la del mail del negocio igual a la del Netflix.
Según la Resolución 444/2023 del Ministerio de Transporte, las contraseñas son individuales e intransferibles. Y la Disposición 1/2015 de la Jefatura de Gabinete ya decía que los usuarios tienen que seguir buenas prácticas. No es joda: hasta el Estado argentino lo exige para sus sistemas. ¿Tu pyme va a ser menos ordenada que un organismo público?
Los 5 puntos de una política de contraseñas que funciona
Te dejo lo que pongo en la plantilla que les doy a mis clientes. Son 5 puntos. Nada más. Si hacés esto, ya cubriste el 90% de los problemas que vi en la fintech.
1. Cada persona, una contraseña
Parece obvio, pero no lo es. En una pyme es común que todos usen la misma clave para entrar al sistema de facturación o al WhatsApp Business. Eso es un desastre. Si pasa algo, no sabés quién fue. La Resolución 80/2023 de la AAIP es clara: no revelar claves o contraseñas de acceso a los sistemas del organismo. Aplicá el mismo criterio en tu negocio.
2. Contraseñas de calidad, no complicadas
Acá va la data: la Resolución 28/2022 de la Secretaría Legal y Técnica establece que los sistemas tienen que aplicar contraseñas de calidad. ¿Qué significa eso en criollo? Que no es una palabra fácil de adivinar. Olvidate de «1234», «admin» o el nombre del negocio. Usá frases largas, tipo «M3GustaLaPizzaDeMuzzar3lla». Son fáciles de recordar y difíciles de romper.
3. Un gestor de contraseñas, no un Excel
Si tenés las claves en un archivo de Excel compartido por Drive, estás pidiendo un problema. Te recomiendo que uses un gestor de contraseñas. Hay gratis y son sencillos. Te explico bien cómo elegir uno y configurarlo en esta nota: Gestor de contraseñas para negocio: cómo ordenar las claves de tu pyme. Con un gestor, cada empleado tiene su propia bóveda y no comparten nada por WhatsApp.
4. El doble factor, siempre
Esto no es negociable. La Resolución 211/2023 de la AAIP instruye a los usuarios sobre el uso apropiado de contraseñas y equipos. Y el doble factor es la capa extra que te salva si a alguien se le filtra la clave. Activá el doble factor en el mail del negocio, en Mercado Pago, en Instagram y en el home banking. Si no sabés cómo, acá está la guía: Verificación en dos pasos para las cuentas del negocio: guía paso a paso que funciona.
5. Cuándo cambiar las claves (y cuándo no)
Olvidate de cambiar la contraseña cada 3 meses si no pasó nada. Eso ya no se recomienda. Solo cambiá la clave cuando: se va un empleado, entran a una cuenta desde un lugar raro, o te llega una alerta de la plataforma. Y si se va un empleado, no solo cambiás la clave: seguí el checklist que armé acá: Se va un empleado: el checklist de seguridad que salva tu pyme.
¿Cómo se la explicás a tu equipo sin que se duerman?
No les des un documento de 20 páginas. Sentalos 15 minutos y deciles esto: «Mirá, las claves son como las llaves del negocio. No se comparten, no se dejan en cualquier lado, y si se pierden, avisamos ya». Después, mostrales cómo usar el gestor de contraseñas y cómo activar el doble factor. Si tenés dudas de cómo dar acceso sin dar la clave, leé esto: Dar acceso a empleados a las redes sin dar tu contraseña: la guía que funciona.
¿Qué hago si un empleado ya compartió su clave por WhatsApp?
Cambiala ya. Y después, implementá un gestor de contraseñas para que no vuelva a pasar. La próxima, que la compartan desde la bóveda del gestor, que es segura.
¿Es obligatorio tener una política de contraseñas por escrito?
Para las pymes no hay una ley que lo exija, pero si trabajás con datos de clientes, te conviene tenerlo por escrito. Si algún día tenés un problema, demostrar que tenías reglas claras te puede cubrir. Además, la AAIP recomienda tener políticas claras.
¿Cuál es la contraseña más segura para una pyme?
Una frase larga, de al menos 12 caracteres, con mayúsculas, minúsculas, números y algún símbolo. Por ejemplo: «L4sPizz4sDeM4rt4SonR1qu1sim4s». Y siempre, siempre, con doble factor.
¿Un gestor de contraseñas es caro?
No. Hay opciones gratuitas muy buenas como Bitwarden o la versión gratis de LastPass. Para una pyme chica, alcanza y sobra. Lo caro es tener que recuperar una cuenta después de un robo.
¿Qué hago si un empleado se va y tengo que cambiar todas las claves?
Con un gestor de contraseñas, solo revocás el acceso de ese empleado a la bóveda compartida. No tenés que cambiar clave por clave. Por eso es tan útil.
La seguridad de una pyme no es cara, es ordenada. Esta semana, sentate 20 minutos con tu equipo y definí estas 5 reglas. Después, activá el doble factor en las tres cuentas más importantes del negocio. No necesitás un sistema de mil dólares. Necesitás orden. Y eso lo podés hacer hoy. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
