Una revisión de acceso es una comprobación periódica que confirma si cada cuenta sigue siendo necesaria, tiene responsable autorizado, usa recuperación controlada y no muestra sesiones o aplicaciones inexplicables. El resultado útil no es una captura o un ‘parece correcto’, sino una decisión fechada—mantener, cambiar, suspender o retirar—y pruebas de que los cambios se completaron.
Esta lista sirve para operaciones legítimas de agencias, QA, investigación y automatización con varias cuentas Gmail, Yahoo u Outlook. Complementa la guía de seguridad: aquella explica controles; esta muestra cómo verificarlos y cerrar carencias de responsabilidad.
Define la revisión antes de abrir las cuentas
Empieza por alcance, revisores, evidencias y plazo. Decide si cubre cliente, proyecto, proveedor, entorno o todas las cuentas. Asigna un responsable empresarial que juzgue la necesidad y un revisor técnico que inspeccione seguridad. En equipos pequeños una persona puede asumir ambos papeles, pero decisión y evidencia deben registrarse por separado.
La orientación actual de Microsoft para planificar revisiones pide definir recursos, población, frecuencia, revisores, plazos y acciones. El modelo funciona también para cuentas independientes: determina qué se revisa, quién decide y qué ocurre sin respuesta.
| Campo | Pregunta | Evidencia segura |
|---|---|---|
| Finalidad y responsable | ¿Por qué existe y quién responde? | Solicitud aprobada, registro del proyecto o confirmación |
| Proveedor y estado | ¿Está activa, suspendida, cuestionada o retirada? | Pantalla del proveedor o registro fechado |
| Recuperación | ¿Puede el equipo recuperarla sin dispositivo privado? | Método y custodio verificados; nunca el código |
| Sesiones y dispositivos | ¿Son esperados todos los accesos? | Lista revisada con excepciones anotadas |
| Aplicaciones conectadas | ¿Cada integración conserva una finalidad? | Lista aprobada y registro de eliminación |
| Decisión | ¿Mantener, cambiar, suspender o retirar? | Revisor, motivo, responsable y conclusión |
Mantén los secretos fuera de la hoja
El registro puede contener direcciones, responsables, estados y referencias de bóveda. No debe incluir contraseñas, passkeys, códigos, claves API ni exportaciones completas. Guárdalos en un gestor o bóveda cifrada con registros de acceso.
Ejecuta la revisión de acceso
- 1Congela el alcance. Copia el registro actual, anota la fecha e impide que entren filas silenciosamente.
- 2Vincula cada cuenta a finalidad y responsable. Marca cuentas sin proyecto, persona responsable o autoridad actual.
- 3Comprueba recuperación y autenticación. Confirma acceso del custodio y el método más fuerte, sin recopilar códigos.
- 4Inspecciona actividad, dispositivos y sesiones recientes. Investiga accesos desconocidos.
- 5Revisa aplicaciones y acceso delegado. Elimina integraciones, claves de app, reenvíos o delegados sin uso aprobado.
- 6Registra una decisión y asigna corrección. Todo cambio, suspensión o retirada necesita responsable y plazo.
- 7Verifica la conclusión. Vuelve a comprobar el proveedor, conserva evidencia mínima y programa la próxima revisión o evento.
No uses la última actividad como única regla. Una cuenta puede estar inactiva intencionadamente para pruebas, recuperación de incidentes o un proyecto estacional. Del mismo modo, actividad reciente no demuestra autorización. Combínala con finalidad explícita, decisión del responsable e integraciones esperadas.
Recopila evidencias específicas del proveedor
Para Google, la orientación sobre dispositivos muestra cómo revisar dispositivos y sesiones y cerrar accesos no fiables. Google también ofrece una revisión de aplicaciones vinculadas. Registra el resultado, no una copia de contenido sensible.
Para Microsoft, consulta la actividad reciente y confirma métodos en información de seguridad. Microsoft recomienda mantenerlos actuales; una dirección laboral que desaparecerá no es recuperación duradera.
Para Yahoo, la orientación de actividad de seguridad dirige a revisar accesos, conexiones y cambios. Eliminar una conexión puede exigir borrar su clave de aplicación. Confirma la integración para no romper un flujo válido sin plan aprobado.
Las pantallas de los proveedores son distintas
Usa las etiquetas y flujos actuales de cada proveedor. No fuerces evidencias de Gmail, Yahoo y Outlook en campos idénticos cuando sus modelos de sesión, aplicación, alias y recuperación difieren.
Convierte hallazgos en acciones controladas
| Decisión | Cuándo usarla | Seguimiento |
|---|---|---|
| Mantener | Finalidad, responsable, acceso y seguridad están al día | Registrar revisor y próximo desencadenante |
| Cambiar | La cuenta es necesaria pero responsabilidad, recuperación, sesiones o apps están mal | Asignar correcciones y verificar el nuevo estado |
| Suspender | Uso incierto, discutido o investigado | Conservar evidencia necesaria y bloquear según política |
| Retirar | La finalidad terminó o no queda responsable autorizado | Eliminar integraciones, revocar acceso, aplicar retención y cerrar fila |
Trata el acceso inesperado como evento de seguridad, no limpieza rutinaria. Sigue la recuperación y el proceso de compromiso, avisa al responsable y conserva solo la evidencia exigida. Nunca eludas un desafío, crees sustitutos parecidos ni repitas intentos bloqueados.
Elige una frecuencia basada en riesgo
No existe un intervalo universal. Define la frecuencia según valor, operadores, sistemas conectados, compromisos con clientes y requisitos legales o contractuales. Las cuentas de alto impacto y grupos compartidos merecen revisiones más frecuentes que cuentas de prueba aisladas y temporales.
- Haz una revisión por evento al cambiar responsable, contratista, cliente o proyecto
- Revisa de inmediato tras sospecha de compromiso, cambio de recuperación inexplicable o sesión desconocida
- Revisa cuentas temporales al final del ciclo o retención aprobada
- Define revisor alternativo y escalado para filas sin decisión
- Mide la conclusión por acciones verificadas, no casillas inicialmente marcadas
Para higiene de contraseñas y autenticación, CISA recomienda claves únicas, gestor y MFA en Secure Our World. La revisión debe confirmar controles sin exponer secretos.
Incluye nuevas cuentas de MailCreator en el ciclo
MailCreator ofrece creación por tareas de Gmail, Yahoo y Outlook con nombres, recuperación, estado y CSV. Tras un lote autorizado, mueve el archivo a almacenamiento seguro, concilia cada cuenta y añade finalidad, responsable, custodio, estado y próximo desencadenante al registro. Elimina copias de trabajo cuando la retención lo permita.
Al formalizar operaciones, empieza por el flujo de aprovisionamiento y usa esta lista como control recurrente. Cuando esté lista, compara planes o crea una cuenta para un piloto controlado.
La creación nunca autoriza spam, suplantación, identidades engañosas ni intentos de evitar protecciones. Usa cada cuenta solo para una finalidad aprobada y cumple condiciones, privacidad, retención y reglas de comunicación.