Contraseñas en el despacho: el pósit en la pantalla y otras tradiciones peligrosas

Imagine que una visita espera en la sala de juntas del despacho mientras usted acaba una llamada. Junto al monitor de la administrativa hay un pósit amarillo con una palabra, un año y un signo de exclamación. Es la contraseña del programa de gestión, donde están los datos de todas las comunidades. Nadie lo ha hecho con mala intención: es lo más cómodo.

La respuesta corta a la pregunta de cómo debe ser una contraseña en un despacho es esta: larga, única para cada servicio, guardada en un gestor de contraseñas y con doble factor siempre que se pueda. El pósit, la hoja de Excel «claves.xlsx» y la misma clave para todo son tradiciones que conviene retirar.

Las cinco tradiciones peligrosas

• El pósit o la libreta. Cualquiera que pase por el despacho (visitas, repartidor, limpieza) puede leerla o fotografiarla.
• Una sola clave para todo. Si se filtra la de una web de ofertas, el atacante la prueba en el correo y en el banco. Es el truco más rentable que existe.
• La clave compartida. «Entra con la de Marta, que tiene permisos». Así no se sabe quién hizo qué, y si Marta se va, hay que cambiarla en todas partes.
• La clave enviada por correo o WhatsApp. Se queda guardada en el historial de mensajes durante años.
• La contraseña que nunca se cambia, ni siquiera tras un susto. Si hubo un phishing o se perdió un portátil, hay que renovarla.

Cómo es una buena contraseña

Hoy se recomienda pensar en longitud antes que en símbolos raros. Una frase de varias palabras sin relación entre sí, de más de catorce o quince caracteres, es más difícil de adivinar que una clave corta con un número y un símbolo al final y más fácil de recordar. Lo que sí es innegociable:

• Que no incluya el nombre del despacho, el de la persona, fechas de cumpleaños o la ciudad.
• Que no se repita entre servicios.
• Que no sea la que venía de fábrica en el router, la impresora o el programa.

Un gestor de contraseñas

Nadie puede recordar veinte claves largas y distintas. Para eso existen los gestores de contraseñas: un almacén cifrado que se desbloquea con una única clave maestra. Con él, cada servicio tiene su contraseña larga y generada al azar, y usted solo recuerda una.

Para un despacho, lo razonable es un gestor profesional con cuentas individuales y la posibilidad de compartir ciertas claves (la de la web del banco, por ejemplo) sin que la gente las vea escritas. Elija uno de un proveedor conocido y compruebe dónde guarda los datos. Si es un servicio externo, hay que valorar si actúa como encargado del tratamiento. Lo explicamos en administrador de fincas y encargado del tratamiento.

Reglas que un despacho pequeño sí cumple

1. Una cuenta por persona. Nada de usuarios compartidos en el programa de gestión, el correo ni la nube.
2. Doble factor en el correo, la banca online, el almacenamiento en la nube y el programa de gestión. Lo detallamos en el doble factor de autenticación.
3. Alta y baja ordenadas. Cuando alguien entra, se le crean accesos solo a lo que necesita. Cuando se va, se cierran el mismo día.
4. Cambio tras un incidente. Si hubo un correo fraudulento, un dispositivo perdido o una sospecha, se cambian las claves afectadas.
5. Nada de claves por mensaje. Si hay que entregar una, se hace en persona o se cambia nada más usarla.
6. Equipos bloqueados. Bloqueo automático de pantalla tras unos minutos y la costumbre de bloquear al levantarse.

La contraseña más segura es la que cada persona puede cumplir sin pensar demasiado. Si es incómoda, acabará en un pósit.

Qué dice la normativa

El RGPD exige que los datos personales se traten con la seguridad adecuada, protegiéndolos frente al acceso no autorizado (art. 5.1.f), y que el responsable y el encargado apliquen medidas técnicas y organizativas apropiadas al riesgo (art. 32). No dice cuántos caracteres debe tener una clave, pero el control de acceso a los datos de vecinos es la primera de esas medidas. Tiene el texto del Reglamento (se abre en una ventana nueva) a un clic.

También es relevante el deber de confidencialidad de quienes tratan datos: la LOPDGDD lo recoge en su art. 5, y se mantiene aunque la relación laboral haya terminado. Un empleado que comparte su clave con un compañero está debilitando esa confidencialidad, y por eso conviene que el compromiso del personal se formalice. Tiene más en empleados del despacho y confidencialidad.

El problema suele aflorar cuando se produce un incidente y se descubre que no había ningún control. Entonces la pregunta es si las medidas eran las adecuadas, y un pósit en el monitor es difícil de defender.

Las contraseñas de la comunidad también cuentan

El despacho no solo guarda sus propias claves. También custodia las de la comunidad: el acceso a la banca online, a la web del suministro de la luz, al portal de la aseguradora, al programa del videoportero o al router de las zonas comunes. Estas claves no deben estar en la cabeza de una sola persona ni en un papel. Guárdelas en el gestor, con acceso solo para quien las necesite, y apunte quién las puede ver. Cuando cambie el presidente o el administrador, esas claves deben cambiarse.

En resumen

• Las contraseñas deben ser largas, distintas para cada servicio y no estar a la vista.
• Un gestor de contraseñas resuelve el problema de recordar muchas claves.
• Cada persona tiene su cuenta y las altas y bajas se gestionan el mismo día.
• Active el doble factor en el correo, el banco y el programa de gestión.
• El RGPD exige medidas de seguridad adecuadas al riesgo; el control de accesos es la primera.

Revisar cómo se accede hoy a los datos de las comunidades, y quién tiene acceso a qué, es un primer paso que se hace en una tarde y que ordena el resto de la documentación.