Seguridad en un CRM: doble factor, copias y accesos

La seguridad en un CRM es el conjunto de medidas que protegen tus datos de clientes, y se apoya en cuatro cosas: que solo entre quien debe (doble factor y accesos personales), que cada persona vea solo lo que necesita (permisos), que existan copias cifradas para poder recuperarte y que sepas dónde están alojados los datos.

Un CRM concentra el activo más valioso de tu empresa: tus clientes, sus conversaciones y su historia contigo. Perderlo, que se filtre o que se lo lleve un empleado que se va es un problema serio. Por ejemplo, un negocio con 2.000 fichas y WhatsApp Business conectado depende de estas cuatro medidas cada día. Casi todo se previene con hábitos sencillos. Primero verás los accesos, después los permisos y por último las copias, con una lista final de 7 preguntas para revisar. Con Excel basta para apuntar las respuestas en 10 minutos.

¿Cómo se controla quién entra en el CRM?

El control de accesos es la combinación de una cuenta por persona, doble factor y baja inmediata. Son tres hábitos baratos que evitan la mayoría de los accesos indebidos, según el RGPD (2018), que pide medidas de seguridad adecuadas.

• Una cuenta por persona: si entran 3 personas con la misma cuenta, no sabes quién hizo qué y, cuando alguien se va, tienes que cambiar la clave para todos.
• Doble factor: además de la contraseña, un código en el móvil. Si alguien consigue la contraseña, sin ese segundo paso no entra.
• Baja inmediata: cuando alguien deja el equipo, su acceso se corta ese mismo día.

El doble factor es la medida con mejor relación entre esfuerzo y protección, y se activa en unos 5 minutos por persona. La baja inmediata parece obvia y es lo que más se olvida. Apúntala en el protocolo de despedidas junto con las llaves y el ordenador.

¿Qué permisos debe tener cada persona del equipo?

Un permiso es la regla que decide qué ve y qué puede hacer cada persona, y conviene pensar en roles. No todo el mundo debe poder ver todos los clientes, descargar la lista completa o borrar fichas. Cuantos menos permisos de más, menos riesgo.

• Comercial: ve y trabaja sus clientes, no los de otros.
• Administración: accede a facturas y datos de pago.
• Dirección: ve el conjunto y los informes.
• Soporte externo: accede solo a lo necesario y por tiempo limitado.

En un CRM a medida, los permisos por rol se pueden construir según tu organización. En uno estándar, mira qué niveles ofrece antes de elegir. Por ejemplo, con 12 personas y 3 roles, el alta de una persona nueva debería llevar menos de 10 minutos. Con Excel se apunta quién tiene qué permiso, en 3 columnas.

¿Cómo funcionan las copias de seguridad y dónde están los datos?

Una copia de seguridad es una réplica de tus datos guardada aparte, según el sistema, y es tu seguro de vida ante un fallo, un borrado accidental o un ataque. Comprueba cinco cosas, por ejemplo con tu proveedor de Meta o de alojamiento, y después mira dónde está alojado el sistema, porque el lugar importa por seguridad y por cumplimiento. Una copia diaria ocupa pocos minutos.

1. Frecuencia: idealmente cada día.
2. Cifrado: la copia también contiene datos personales.
3. Lugar: separada del sistema principal.
4. Restauración: alguien ha probado alguna vez a recuperar una copia.
5. Borrado: que no pueda hacerlo cualquiera.

Una copia que nunca se ha restaurado es una esperanza, no una certeza. Que los servidores estén en la Unión Europea evita complicaciones con las reglas de protección de datos; lo desarrollamos en datos en servidores europeos.

¿Qué hábitos del equipo estropean la seguridad de un CRM?

Un mal hábito es una costumbre que abre la puerta a un incidente. Muchos incidentes empiezan con una persona y no con un fallo técnico y son fáciles de corregir. Dedica 15 minutos al año a repasarlos con todo el equipo: es barato y funciona. Por ejemplo, una exportación enviada por correo puede acabar en manos equivocadas.

• Exportar la lista de clientes a una hoja de Excel y mandarla por correo.
• Usar la misma contraseña en el CRM y en otros servicios.
• Dejar el ordenador desbloqueado en un lugar con público.
• Guardar capturas de conversaciones en el móvil personal.
• Abrir enlaces o adjuntos sospechosos en correos que dicen ser del proveedor.

Además, si el CRM incluye un agente de IA, pregunta qué datos ve y cuáles guarda, como se explica en IA y protección de datos.

¿Qué lista de revisión de 10 minutos puedes usar?

Una lista de revisión es una serie de preguntas con respuesta sí o no que se contestan en 10 minutos. Cada «no» es una tarea para esta semana, y la lista se repasa una vez al año o cuando cambie el equipo, según el RGPD y el sentido común.

1. ¿Cada persona tiene su propio usuario?
2. ¿Está activado el doble factor para todos?
3. ¿Hay permisos distintos por rol?
4. ¿Las copias son diarias y cifradas, y se ha probado a restaurar una?
5. ¿Sabes en qué país está alojado el sistema?
6. ¿Cortas el acceso el mismo día que alguien se va?
7. ¿Tienes un contrato con el proveedor?

En Kairux, el CRM a medida lleva servidores en la Unión Europea, copias diarias cifradas y acceso con doble factor. Si quieres revisar tu situación, en una videollamada de 45 minutos sin compromiso lo vemos juntos. Más en CRM a medida con agentes de IA y CRM y RGPD.

Preguntas frecuentes

¿Qué es el doble factor y por qué importa?

El doble factor es un segundo paso al entrar, además de la contraseña, normalmente un código que llega al móvil o se genera en una aplicación. Importa porque, aunque alguien robe la contraseña, no puede entrar sin ese segundo elemento. Es la medida más rentable de toda la lista, según el esfuerzo que exige, y se activa en 5 minutos.

Según el RGPD (2018), la seguridad debe ser adecuada al riesgo. Por ejemplo, un comercial introduce su contraseña a las 9:00 y el sistema le pide un código de 6 cifras que aparece en su móvil. Si alguien intentara entrar desde otro país, no pasaría de ahí. Primero se activa para dirección, después para todo el equipo y por último se revisa cada trimestre, con WhatsApp Business y el correo del negocio también protegidos.

¿Con qué frecuencia debo hacer copias de seguridad?

Una copia diaria es la frecuencia ideal, hecha de forma automática, porque perder una semana de trabajo cuesta mucho más que una copia diaria. Según el RGPD (2018) y la AEPD, si tu actividad cambia poco, puede bastar con menos, pero el coste de automatizarlas es bajo. Lo importante es que estén cifradas, separadas del sistema principal y que se haya probado a restaurar alguna.

Imagina un negocio que recibe 30 consultas al día por Instagram y WhatsApp Business (Meta). Si una mañana se borra por error una etapa del embudo, la copia de ayer lo recupera en minutos. Sin copia, habría que reconstruirlo de memoria. Primero pregunta a tu proveedor cada cuánto se hacen, después cuánto tiempo se guardan y por último quién puede borrarlas, durante 12 meses.

¿Qué hago si sospecho que alguien ha accedido sin permiso?

Una sospecha de acceso indebido es un incidente que se atiende en horas. Actúa rápido: cambia la contraseña de la cuenta afectada, cierra las sesiones abiertas y avisa a tu proveedor. Después revisa el registro de accesos para ver qué se consultó y cuándo. Si se han visto datos personales, consulta con tu asesor si hay que avisar a las personas o a la AEPD, según el RGPD, y hazlo en 72 horas como referencia habitual.

En la práctica, primero contén el problema, luego averigua el alcance y por último corrige el origen. Por ejemplo, si el acceso vino de una contraseña repetida en otro servicio, activa el doble factor para todos y revisa los permisos. Anota qué pasó, cuándo y qué hiciste: esa nota vale mucho si algún día te piden explicaciones.

Página principal: todo lo que un CRM personalizado para empresas, con agentes de IA que trabajan 24/7, puede hacer por tu negocio.