Cómo compartir archivos de forma segura con clientes y empleados
TL;DR: Compartir archivos de forma segura significa usar una plataforma aprobada por la empresa, limitar el acceso a personas específicas, proteger los enlaces confidenciales con contraseñas y fechas de vencimiento, y revisar los permisos después de terminar el trabajo. Los archivos adjuntos por correo electrónico y los enlaces públicos son prácticos hasta que se convierten en el problema de otra persona.
Un proceso adecuado protege la información de los clientes, los registros de nómina, los contratos, los documentos fiscales y los archivos cotidianos que su equipo necesita para trabajar. También evita que un empleado apurado le entregue las llaves a un desconocido porque un correo electrónico le pareció vagamente familiar. Eso no es paranoia. Es martes.
Lo que necesita
Antes de compartir cualquier cosa, establezca lo básico:
- Una plataforma para compartir archivos administrada por la empresa, con cuentas de usuario individuales. Microsoft 365 con OneDrive y SharePoint es una opción común para pequeñas y medianas empresas, aunque la herramienta adecuada depende de su configuración.
- Un responsable claro de la carpeta o el documento. Alguien debe encargarse de los permisos. “Todos” no es una persona, aunque algunas oficinas parezcan creer lo contrario.
- Autenticación multifactor, o MFA, activada para cada cuenta que pueda acceder a archivos empresariales.
- Una regla sencilla de sensibilidad. Por ejemplo: público, interno, confidencial y restringido. No necesita empezar con una carpeta de políticas de tres pulgadas de grosor.
- Un proceso para retirar el acceso cuando termina un proyecto, cambia un proveedor o se va un empleado.
- Copias de seguridad confiables. Compartir archivos no es hacer copias de seguridad, y las herramientas de sincronización pueden sincronizar alegremente un archivo eliminado o cifrado en todas partes. Revise sus opciones de copias de seguridad y recuperación ante desastres empresariales antes de aprender esa lección por las malas.
Para una empresa del sur de Florida, esto importa tanto si es un despacho legal de West Palm Beach que envía documentos de clientes, un contratista que comparte planos, una oficina relacionada con servicios médicos que maneja documentos confidenciales o un administrador de propiedades que distribuye registros de inquilinos. Los archivos pueden ser distintos. El riesgo es el mismo.
1. Clasifique el archivo antes de compartirlo
Empiece con una pregunta sencilla: ¿qué pasa si la persona equivocada ve este archivo?
Un folleto público o una fotografía de marketing ya finalizada pueden tener poco riesgo. Un manual interno de procedimientos es más sensible. La nómina, los documentos de identidad, la información de cuentas, los contratos, los registros de clientes, los documentos fiscales y los detalles de seguridad son confidenciales o restringidos. Trate esos archivos en consecuencia.
Una regla útil es compartir la versión menos sensible que permita completar el trabajo. Si un cliente necesita una propuesta, envíe la propuesta. No envíe toda la carpeta interna del proyecto con borradores antiguos, notas de precios, comentarios del personal y una hoja de cálculo llamada “FINAL_final_USE_THIS_ONE.xlsx”. Ese nombre de archivo ya ha vivido demasiadas cosas.
Para material restringido, considere si el destinatario realmente necesita una copia descargable. Un archivo de solo lectura o un portal seguro puede ser más prudente que enviar un documento que pueda guardar, reenviar y perder en una cuenta personal de correo electrónico comprometida.
Si su empresa maneja datos regulados, busque asesoría específica para su industria. Las obligaciones de seguridad pueden variar mucho, y adivinar no es una buena estrategia de cumplimiento.
2. Use una plataforma empresarial administrada, no archivos adjuntos al azar
El sistema más seguro para compartir archivos suele ser el que controla su empresa. Debe ofrecer cuentas individuales, configuración de permisos, registros de actividad, compatibilidad con MFA y una forma de revocar el acceso cuando sea necesario.
Una configuración empresarial de Microsoft 365 puede proporcionar almacenamiento administrado en OneDrive y SharePoint, uso compartido controlado y administración centralizada. Si su empresa tiene Microsoft 365, pero las personas todavía envían documentos mediante Gmail personal, mensajes de texto o cuentas de nube para consumidores, el problema no es el software. Es la falta de un proceso práctico.
Organice el almacenamiento de la empresa por función y propósito. Algunos ejemplos son:
- Carpetas internas del equipo para el trabajo operativo habitual.
- Carpetas específicas de cada cliente con membresía restringida.
- Carpetas de proveedores para cotizaciones, facturas y documentos de proyectos.
- Carpetas de liderazgo o Recursos Humanos con un acceso mucho más limitado.
Evite crear una sola unidad compartida enorme donde cada empleado pueda ver todos los archivos. La mayoría de las personas no necesita acceso a la nómina, las notas de Recursos Humanos, los contratos ejecutivos ni los documentos de otro cliente. Dar acceso amplio “por si acaso” es la manera en que los pequeños errores se convierten en incidentes grandes.
Si necesita ayuda para organizar cuentas, permisos y herramientas de colaboración, nuestro equipo de soporte para Microsoft 365 puede ayudarle a poner la infraestructura en orden antes de que la oficina invente seis sistemas de archivos que compitan entre sí.
3. Dé acceso a personas, no a enlaces anónimos
Al compartir internamente, otorgue acceso a cuentas específicas de empleados o a un grupo administrado correctamente. Al compartir con un cliente o proveedor externo, invite su dirección de correo electrónico verificada siempre que la plataforma lo permita.
Compartir mediante enlaces anónimos de “cualquiera que tenga el enlace” resulta tentador porque es rápido. También es difícil de controlar. El destinatario puede reenviar el enlace. El enlace puede quedarse para siempre en una bandeja de entrada antigua. Puede copiarse en un ticket, chat, historial del navegador o quién sabe dónde más. Después, no tiene una forma confiable de saber quién lo posee.
Use enlaces anónimos únicamente para material que sea realmente público. Si un archivo contiene información de clientes, financiera, de empleados, operativa o de seguridad, use acceso con nombre.
Antes de enviar una invitación externa, verifique la dirección. No se base en el nombre que aparece en el correo electrónico. Los estafadores registran dominios parecidos y se hacen pasar por proveedores, ejecutivos y clientes todo el tiempo. Compare cuidadosamente el dominio real. vendor-company.com y vendorcompanny.com no son lo mismo. Una letra adicional puede costar mucho más que unos segundos de atención.
Para un destinatario nuevo, confirme la dirección mediante un número de teléfono conocido, un registro de contacto existente o un canal de comunicación independiente. No use el número de teléfono incluido en el correo electrónico sospechoso. Eso es permitir que el zorro haga su propia verificación de antecedentes.
4. Establezca el acceso mínimo necesario
Cada archivo o carpeta compartidos debe tener un nivel de permisos que corresponda al trabajo.
Use acceso de solo lectura cuando alguien únicamente necesite leer o descargar un documento final. Use acceso para comentar cuando quiera recibir comentarios, pero no quiera que se modifique el original. Use acceso de edición solo cuando el destinatario deba hacer cambios. Use acceso de propietario o control total con moderación, ya que puede permitir que las personas cambien permisos, eliminen archivos o creen más caos del previsto.
Considere también el alcance. Comparta un documento cuando un documento sea suficiente. Comparta una carpeta de proyecto solo cuando el destinatario necesite acceso continuo a su contenido. No comparta una carpeta principal porque sea más fácil que seleccionar la subcarpeta correcta. Ese atajo puede exponer a otros clientes, documentos internos y archivos futuros que se agreguen después.
Para colaboradores externos, cree una carpeta separada para el cliente o proveedor en lugar de agregarlos a una carpeta de un departamento interno. Mantenga las notas internas, los borradores y las conversaciones del personal en un lugar que no puedan ver.
Una buena revisión de permisos plantea estas preguntas:
- ¿Esta persona necesita acceso hoy?
- ¿Necesita editar o solo ver?
- ¿Está viendo únicamente los archivos relevantes para su trabajo?
- ¿Puede volver a compartir el contenido o invitar a otras personas?
- ¿Tiene su acceso una fecha de finalización?
¿Le preocupa que su empresa esté a un clic de sufrir una filtración? Obtenga una revisión de seguridad
5. Proteja los archivos compartidos confidenciales con MFA, contraseñas y fechas de vencimiento
MFA es una de las medidas de protección más eficaces disponibles. Significa que una contraseña robada por sí sola no basta para entrar en la cuenta. Exíjala al personal, los administradores y los colaboradores externos siempre que su plataforma lo permita.
Para compartir archivos confidenciales externamente, use un enlace protegido con contraseña si esa función forma parte de su plataforma aprobada. Envíe la contraseña por un canal independiente, como una llamada telefónica o un mensaje de texto a un número verificado. No coloque el enlace y la contraseña en el mismo correo electrónico. Es como enviar una llave de la casa pegada a la puerta principal.
Establezca fechas de vencimiento para los enlaces externos y el acceso temporal. Un cliente puede necesitar documentos durante una semana. Un contratista puede necesitar una carpeta de proyecto durante un mes. Ninguno necesita acceso permanente porque nadie recordó desactivarlo.
Algunas plataformas también permiten bloquear las descargas, restringir el uso compartido adicional o exigir que los destinatarios inicien sesión. Use esos controles cuando la información lo amerite. Solo recuerde que ninguna configuración puede impedir que alguien le tome una foto a la pantalla. La seguridad reduce el riesgo. No elimina el comportamiento humano.
Vale la pena compartir con el personal que considera insoportable un paso adicional de inicio de sesión la guía de la Cybersecurity and Infrastructure Security Agency sobre MFA. También vale la pena recuperarse de la toma de control de una cuenta, pero nadie agenda eso en el calendario.
6. Envíe el enlace de forma segura y esté atento a la suplantación de identidad
Una vez configurado el acceso, envíe un enlace en lugar de adjuntar documentos confidenciales a un correo electrónico común siempre que sea posible. El archivo permanece en el sistema administrado y puede revocar el acceso más adelante si es necesario.
Mantenga el mensaje claro y esperado. Dígale al destinatario qué es el archivo, por qué lo recibe y qué acción debe realizar. Los mensajes vagos crean confusión y facilitan el phishing. Es menos probable que un cliente que recibe “Revise el documento seguro cuyo enlace aparece a continuación” haga clic presa del pánico en un archivo adjunto aleatorio que pretende ser suyo.
Use un formato de mensaje estándar para compartir archivos confidenciales. Incluya:
- El nombre del documento o la carpeta.
- La información de contacto real de la empresa del remitente.
- Una nota que indique que se le puede pedir al destinatario que inicie sesión o introduzca una contraseña independiente.
- Una advertencia para que llame al número conocido de su oficina si algo parece inusual.
Nunca pida a clientes o empleados que envíen contraseñas, códigos MFA, datos bancarios o documentos de identidad respondiendo al correo electrónico. Capacite a las personas para reconocer el compromiso del correo electrónico empresarial, las notificaciones falsas de uso compartido de archivos y las estafas de facturas. Un enlace etiquetado como “SharePoint” o “OneDrive” todavía puede llevar a una página de inicio de sesión falsa. El logotipo no lo hace legítimo. Los estafadores también son dueños de logotipos.
Para empresas que necesitan mayor protección contra el phishing, la toma de control de cuentas y los malos hábitos de permisos, consulte nuestros servicios de ciberseguridad empresarial.
7. Revise el acceso cuando termine el trabajo
Compartir archivos de forma segura no termina cuando hace clic en Enviar. Programe una revisión del acceso en el calendario.
Para proyectos cortos, retire el acceso externo cuando cierre el proyecto. En el caso de clientes y proveedores continuos, revise el acceso a intervalos razonables y elimine a quienes ya no lo necesiten. Revise las carpetas compartidas después de cambios de funciones de empleados, traslados de departamento, cambios de proveedores o procesos de salida.
Cuando un empleado se va, desactive su cuenta de inmediato, revoque las sesiones activas cuando corresponda, transfiera la propiedad de los archivos y revise las carpetas que administraba. Su acceso no debe permanecer porque algún día alguien podría necesitar una hoja de cálculo antigua. Conserve los datos de la empresa. Retire la capacidad del antiguo usuario para abrirlos.
La administración de TI resulta útil aquí porque las revisiones rutinarias de cuentas y los procesos de salida no deberían depender de que un gerente de oficina ocupado recuerde cada sistema. Un plan adecuado de servicios de TI administrados puede ayudar a evitar que el acceso de usuarios, los dispositivos, las copias de seguridad y los controles de seguridad se conviertan en una búsqueda del tesoro.
8. Mantenga una política escrita que las personas realmente puedan seguir
Su política para compartir archivos debe caber en unas pocas páginas, no exigir un título de Derecho y una linterna. Debe responder preguntas básicas:
- ¿Qué plataformas están aprobadas para los archivos empresariales?
- ¿Qué información puede enviarse por correo electrónico y cuál debe compartirse mediante un enlace seguro o un portal?
- ¿Quién puede crear recursos compartidos externos?
- ¿Cuándo son obligatorias las contraseñas y las fechas de vencimiento?
- ¿Cómo debe el personal verificar una nueva dirección de correo electrónico de un cliente o proveedor?
- ¿Quién revisa el acceso y con qué frecuencia?
- ¿Qué deben hacer los empleados si enviaron un archivo a la persona equivocada?
Facilite los reportes. Si alguien comparte un archivo incorrectamente, debe informar de inmediato a la persona adecuada. El objetivo es contener el problema rápidamente, no avergonzar públicamente a nadie. Las personas ocultan sus errores cuando esperan un regaño. Entonces un problema solucionable sigue empeorando.
Capacite al personal con ejemplos realistas. Muéstrele una notificación legítima de uso compartido y una falsa. Explique cómo inspeccionar la dirección del remitente, cómo reportar mensajes sospechosos y cómo revocar un recurso compartido accidental. La capacitación breve y repetida supera a una presentación anual que todos pasan rápidamente mientras comen un sándwich.
Errores comunes
Usar el correo electrónico personal o el almacenamiento personal en la nube para el trabajo de la empresa. Pierde visibilidad y control, especialmente cuando el empleado se va. Los archivos empresariales pertenecen al almacenamiento administrado por la empresa.
Compartir una carpeta completa cuando basta con un archivo. Los permisos de las carpetas pueden exponer más de lo que las personas creen, incluidos los archivos que se agreguen después.
Usar “cualquiera que tenga el enlace” para información confidencial. Un enlace reenviado sigue funcionando. El acceso con nombre es más seguro y fácil de auditar.
Dar derechos de edición a todo el mundo. La mayoría de los destinatarios solo necesita ver o comentar. La edición debe ser una decisión deliberada, no la configuración predeterminada.
Dejar el acceso abierto para siempre. Los recursos compartidos externos, los exempleados, los proveedores antiguos y los proyectos terminados necesitan una limpieza periódica.
Enviar la contraseña en el mismo mensaje que el enlace. Si el correo electrónico se ve comprometido o se reenvía, la protección con contraseña sirve de muy poco.
Omitir MFA porque resulta incómodo. La toma de control de una cuenta es considerablemente más incómoda. Active MFA y use una aplicación de autenticación u otro método aprobado.
Suponer que la sincronización en la nube equivale a una copia de seguridad. Los archivos eliminados, los archivos cifrados por ransomware y los cambios incorrectos pueden sincronizarse rápidamente. Mantenga una cobertura de copias de seguridad independiente y pruebe la recuperación.
Confiar en un correo electrónico para compartir archivos solo porque tiene un logotipo conocido. Verifique el remitente, inspeccione el destino antes de iniciar sesión y use un método de contacto conocido si algo parece extraño.
En resumen
Compartir archivos de forma segura consiste principalmente en mantener una disciplina básica: use cuentas administradas, comparta solo lo necesario, otorgue el permiso práctico más bajo, proteja el acceso confidencial con MFA y fechas de vencimiento, y retire el acceso cuando termine el trabajo.
Si su personal está alternando entre unidades personales, archivos adjuntos por correo electrónico, enlaces misteriosos y carpetas abiertas para medio condado, es hora de poner orden. Fix My PC Store ayuda a las empresas de West Palm Beach y el sur de Florida a crear procesos prácticos para compartir archivos y mejorar la seguridad mediante soporte de TI empresarial. No hace falta una varita mágica. Solo una configuración adecuada, reglas claras y menos oportunidades para que alguien haga clic en lo incorrecto a las 4:57 de la tarde de un viernes.
¿Le preocupa que su empresa esté a un clic de sufrir una filtración?
Obtenga una revisión de seguridad directa y clara de un equipo local que ha limpiado las consecuencias más veces de las que quisiera.
Obtenga una revisión de seguridad
Preguntas frecuentes
¿Cuál es la forma más segura de compartir archivos confidenciales con clientes?
Use una plataforma para compartir archivos administrada por la empresa que exija al cliente iniciar sesión con una dirección de correo electrónico verificada. Otorgue acceso de solo lectura cuando sea posible, active MFA, establezca una fecha de vencimiento y envíe cualquier contraseña mediante un canal verificado independiente.
¿Es seguro enviar archivos empresariales por correo electrónico?
El correo electrónico puede ser aceptable para información de bajo riesgo, pero los archivos adjuntos comunes son una mala opción para documentos confidenciales. Un enlace seguro para compartir desde una plataforma administrada ofrece un mejor control de permisos y permite retirar el acceso más adelante si es necesario.
¿Deben los empleados usar Google Drive, Dropbox o el correo electrónico personales para los archivos de trabajo?
No para datos de la empresa, a menos que la empresa haya aprobado y administre específicamente ese servicio. Las cuentas personales crean problemas de propiedad, acceso, conservación y procesos de salida, especialmente cuando un empleado se va o pierde el control de la cuenta.
¿Cuánto tiempo debe permanecer activo un enlace para compartir archivos con un cliente?
Solo durante el tiempo que el destinatario lo necesite. Para un documento de una sola ocasión, es sensato establecer un periodo de vencimiento corto. Para proyectos continuos, revise el acceso con regularidad y elimínelo en cuanto termine la relación o la necesidad.
¿Qué debemos hacer si un empleado comparte un archivo con la persona equivocada?
Revoque el acceso o desactive el enlace de inmediato. Después, determine exactamente qué se compartió y si el destinatario lo abrió o descargó. Notifique al gerente o contacto de seguridad correspondiente, documente el incidente y ajuste el proceso si faltaba algún control.