Ficheros compartidos con proveedores: accesos externos que no deberían durar para siempre
Cuando una colaboración necesita intercambio de documentos, utilizar los espacios institucionales permite mantener más control sobre quién accede, qué puede hacer y durante cuánto tiempo.
Compartir documentación con proveedores forma parte del trabajo habitual: contratos de servicios, pedidos, licencias, mantenimiento, documentación técnica, herramientas docentes o procesos de gestión pueden requerir que una persona externa consulte o modifique determinados ficheros. El problema no está en compartir, sino en que un acceso temporal termine convirtiéndose, por olvido, en permanente.
Para reducir ese riesgo, la Universidad Pontificia Comillas dispone de una ventaja en su entorno Microsoft 365: los accesos de invitados a sitios y OneDrive están configurados para caducar automáticamente después de 120 días. Esto introduce una protección que no debemos dar por supuesta cuando utilizamos otras plataformas de almacenamiento o espacios creados directamente por un proveedor.
La idea es sencilla: siempre que sea posible, conviene mantener la información de trabajo dentro de los servicios proporcionados y gestionados por la Universidad y conceder desde allí el acceso externo estrictamente necesario.
Compartir no significa perder el control
Cuando enviamos un fichero por correo o lo subimos a un servicio personal de almacenamiento, es fácil que después resulte difícil saber quién conserva una copia, qué permisos siguen activos o durante cuánto tiempo podrá acceder alguien que ya no participa en el trabajo.
Los espacios institucionales permiten plantearlo de otra manera. En lugar de entregar una copia y perder progresivamente el control sobre ella, podemos mantener el documento en un entorno gestionado por la Universidad y conceder acceso a las personas concretas que necesitan colaborar.
OneDrive for Business, incluido en el entorno Microsoft 365 que la Universidad pone a disposición de su personal, es especialmente útil para este tipo de intercambio cuando una persona necesita compartir determinados ficheros o carpetas de trabajo. La configuración actual añade además una medida importante: el acceso del invitado no queda abierto indefinidamente, sino que caduca automáticamente a los 120 días.
Esto no elimina el fichero ni supone que el trabajo desaparezca. Lo que llega a su límite es la autorización del invitado. Si cuatro meses después la colaboración continúa siendo necesaria, el acceso puede revisarse y volver a concederse cuando corresponda. Ese pequeño paso obliga a comprobar que la necesidad sigue existiendo en lugar de mantener permisos antiguos por inercia.
Una protección especialmente útil cuando trabajamos con terceros
Pensemos en un proveedor que necesita consultar durante unas semanas documentación relacionada con una licencia, una intervención de mantenimiento o la configuración de un servicio. Al principio, el acceso tiene una justificación clara. Meses después, sin embargo, puede haber cambiado el responsable, puede haber terminado el contrato o puede que esa persona ya no trabaje para el proveedor.
Desde fuera no tiene por qué apreciarse ningún problema: simplemente existe una carpeta compartida que nadie utiliza. Por dentro, sin embargo, una autorización antigua podría seguir permitiendo el acceso. La caducidad automática ayuda precisamente a evitar que este tipo de permisos sobrevivan indefinidamente a la tarea que los originó.
En la configuración actual del entorno institucional, además, los enlaces de archivos y carpetas utilizan de forma predeterminada “Personas específicas” y la opción de consulta. Esto favorece una forma de compartir más controlada: indicar quién debe recibir el acceso y partir del nivel de permiso más limitado, ampliándolo solamente cuando la tarea requiera modificar el contenido.
La protección automática no sustituye a una buena gestión. Si un contrato termina mañana, no hay razón para esperar a que transcurran los 120 días: el permiso debería retirarse cuando deje de ser necesario. La caducidad funciona como una red adicional frente a olvidos, no como sustituto de la revisión.
Mejor un espacio institucional que una nube que no controlamos
Durante una colaboración es habitual que un proveedor proponga utilizar su propia plataforma, una carpeta en un servicio externo o una cuenta personal de almacenamiento. Puede parecer cómodo porque el espacio ya está creado y basta con subir allí los documentos.
Sin embargo, en esos casos la Universidad puede no controlar la política de caducidad, quién administra el espacio, qué usuarios permanecen autorizados, qué ocurre cuando cambia el personal del proveedor o durante cuánto tiempo se conserva la información. Tampoco debemos asumir que todos los servicios externos aplican automáticamente medidas equivalentes a las configuradas en el entorno institucional.
Por eso, cuando el tipo de colaboración lo permita, es preferible que la información permanezca en los espacios proporcionados por la Universidad y que sea el proveedor quien reciba acceso al contenido necesario, en lugar de trasladar los documentos a una nube ajena.
OneDrive puede ser una opción práctica para compartir ficheros concretos vinculados al trabajo de una persona. Para documentación mantenida por equipos, proyectos prolongados o espacios que deben continuar aunque cambie una persona responsable, puede ser más adecuado utilizar el espacio institucional compartido que corresponda. La idea importante no es utilizar una única herramienta para todo, sino conservar la información dentro del entorno gestionado y aplicar los mismos principios de acceso limitado y revisión.
Un límite importante: no toda la información se puede compartir
Que una herramienta permita compartir un fichero no significa que ese fichero pueda compartirse.
Está prohibido almacenar o trasladar fuera del ámbito de los servicios autorizados por la Universidad información confidencial o datos de carácter personal que permitan identificar directa o indirectamente a una persona, ya sea alumnado o personal PAS/PDI.
Esto incluye prestar atención no solo a grandes bases de datos. Un listado de participantes, un fichero con nombres y correos, determinada documentación académica, información asociada a una persona o una hoja de cálculo que combine varios datos pueden contener información personal aunque a primera vista parezcan documentos de trabajo ordinarios.
Utilizar OneDrive institucional ayuda a mantener los ficheros dentro de un entorno gestionado por la Universidad, pero tampoco convierte automáticamente cualquier información en apta para ser compartida con un tercero. Antes de conceder acceso a un proveedor hay que comprobar que necesita realmente esos datos para la tarea encomendada y limitar el contenido a lo imprescindible.
Qué ocurre por dentro cuando damos acceso
El fichero sigue teniendo un propietario y una ubicación. Compartir desde OneDrive no equivale necesariamente a enviar una copia independiente. El contenido permanece en el espacio institucional y otra persona recibe autorización para acceder a él.
El permiso determina qué puede hacer esa persona. Consultar y modificar no son lo mismo. Si un proveedor solo necesita descargar una especificación o revisar un documento, conceder edición añade una capacidad que puede no ser necesaria. El principio de mínimo privilegio consiste precisamente en evitar esos permisos adicionales.
La autorización tiene un ciclo de vida. Puede existir mientras dura una intervención, un contrato o una colaboración y dejar de ser necesaria después. La caducidad automática a los 120 días introduce una revisión natural en ese ciclo y reduce la posibilidad de que determinados accesos queden olvidados durante largos periodos.
El STIC puede orientar ante dudas sobre cómo compartir, ayudar a revisar una situación de acceso que no parece correcta, recomendar medidas de contención o recuperación y coordinar las actuaciones necesarias cuando proceda.
Cuando termina el contrato, también debe terminar el acceso
La caducidad automática es especialmente valiosa, pero no debemos esperar siempre a que actúe. Hay acontecimientos que deberían provocar una revisión inmediata: el fin de un contrato, el cambio de proveedor, la sustitución de una persona, un cambio de puesto, el cierre de un proyecto o una modificación importante en las responsabilidades.
Lo mismo sucede cuando un proveedor incorpora nuevo personal. Añadir a quien empieza a participar en el servicio debería ir acompañado de la retirada de quien ya no interviene. De lo contrario, las carpetas compartidas van acumulando con el tiempo una historia de personas que necesitaron acceso en algún momento, aunque la mayoría ya no lo necesite.
Siempre que sea posible, automatizar este ciclo resulta preferible a depender únicamente de revisiones manuales. La configuración de caducidad es un buen ejemplo: transforma un permiso que podría mantenerse indefinidamente en otro que tiene un límite y debe justificarse de nuevo si continúa siendo necesario.
Lo que está cambiando en 2025–2026
El trabajo con aplicaciones en la nube, proveedores y servicios conectados hace que la identidad y los permisos tengan cada vez más peso. Ya no basta con pensar únicamente en proteger un ordenador: también importa saber qué cuentas tienen acceso a nuestros documentos, qué autorizaciones continúan activas y quién controla los espacios donde se almacena la información.
También han ganado importancia riesgos como el robo de sesión, en el que alguien intenta aprovechar una sesión previamente autenticada, o los infostealers, programas maliciosos concebidos para obtener credenciales, cookies y otra información almacenada en un dispositivo.
La IA generativa, capaz de producir textos, imágenes y otros contenidos a partir de instrucciones, también puede facilitar mensajes de ingeniería social más convincentes. Todo ello refuerza el valor de medidas que no dependen exclusivamente de que una persona detecte un engaño: limitar permisos, mantener la información en servicios gestionados y retirar accesos cuando dejan de ser necesarios.
Datos que conviene interpretar con contexto
La configuración institucional observada establece actualmente una caducidad automática de 120 días para el acceso de invitados a sitios o OneDrive. Es un dato de configuración, no una estimación estadística, y puede modificarse si cambian las necesidades o políticas técnicas.
No hay un estudio público reciente que permita afirmar una cifra concreta sobre cuántos accesos externos innecesarios permanecen activos específicamente en entornos universitarios comparables al de la Universidad. Por ese motivo, no resulta adecuado trasladar porcentajes generales a este contexto como si describieran nuestra realidad.
Lo relevante para la gestión cotidiana es más sencillo: cuanto menos dependa la retirada de permisos de que una persona recuerde hacerlo manualmente, menor será la posibilidad de que una autorización sobreviva a su necesidad original.
Consejos prácticos al trabajar con proveedores
- Prioriza los servicios institucionales. Si necesitas compartir documentación de trabajo, utiliza OneDrive o el espacio institucional autorizado que corresponda antes de recurrir a cuentas personales o nubes propuestas informalmente por terceros. Así se mantienen más controles bajo el ámbito de la Universidad.
- Evita trasladar documentos a la plataforma del proveedor si no es necesario. Cuando la colaboración pueda hacerse concediéndole acceso a un fichero que permanece en el entorno institucional, esa opción facilita conservar el control de permisos y ubicación.
- Comparte con personas concretas. Identifica quién necesita el documento en lugar de abrir el acceso de forma más amplia. Un proveedor es una organización, pero el acceso debería corresponder a las personas que realmente participan en la tarea.
- Empieza por consulta. Si la otra persona solo necesita leer o descargar información, no concedas edición. Amplía el permiso únicamente cuando modificar el fichero forme parte de la colaboración.
- Comparte solo el contenido imprescindible. Una carpeta completa puede contener documentación añadida meses después que nunca estuvo destinada al proveedor. Cuando sea posible, separa los documentos que deben compartirse.
- Revisa el acceso cuando cambie la relación. Fin de contrato, cambio de responsable, sustitución de personal o cierre de proyecto son momentos para retirar permisos, aunque todavía no hayan transcurrido los 120 días.
- No confíes únicamente en la caducidad automática. Es una protección adicional frente a olvidos, no un motivo para conservar durante cuatro meses un acceso que ya sabemos que sobra.
- No lleves información sensible a servicios externos no autorizados. Los datos confidenciales y los datos personales de alumnado o PAS/PDI deben permanecer dentro del ámbito autorizado por la Universidad.
- Comprueba el contenido antes de compartir. Revisa nombres, columnas ocultas, anexos, versiones o información adicional que quizá el proveedor no necesite. Un documento preparado para uso interno puede contener más datos de los que parece.
- Pregunta antes de improvisar. Si no sabes qué espacio utilizar, qué permiso conceder o si determinado contenido puede compartirse, es preferible solicitar orientación antes de trasladarlo a otra plataforma.
Si descubres un acceso antiguo o un fichero fuera del espacio adecuado
Si encuentras una carpeta compartida con una persona que ya no participa en el servicio, deja de ampliar el acceso y revisa quién sigue necesitándolo. Cuando proceda, retira las autorizaciones innecesarias sin esperar a la caducidad automática.
Si detectas documentación de la Universidad almacenada en una cuenta personal o en un servicio externo que no debería utilizarse para ese contenido, evita seguir compartiéndola o creando nuevas copias. No borres precipitadamente evidencias que puedan ser útiles para entender qué información se ha compartido, con quién y desde cuándo.
Si existe la posibilidad de que credenciales o cuentas se hayan visto comprometidas, cambia la contraseña cuando proceda desde un acceso legítimo y comunica la situación cuanto antes. No retrases el aviso por pensar que el problema es pequeño o porque el fichero haya estado compartido durante mucho tiempo.
Para solicitar orientación o comunicar una incidencia, utiliza el canal de soporte de la Universidad a través de Jira.
Privacidad, proporcionalidad y confianza
Controlar los permisos de un proveedor no significa desconfiar de él. Los accesos cambian porque cambian las personas, los contratos y las necesidades. Revisarlos forma parte de una gestión normal de la información.
La actuación debe ser proporcionada y respetar la confidencialidad. Si aparece un acceso antiguo, el objetivo es entender por qué existe, retirar lo que ya no sea necesario y reducir cualquier posible impacto. Lo mismo ocurre cuando alguien comparte por error un documento en el lugar equivocado: avisar pronto permite corregir la situación y aprender de ella.
Que compartir sea fácil no significa que el acceso deba ser permanente
Trabajar con proveedores exige intercambiar información, pero ese intercambio puede mantenerse dentro de espacios que la Universidad gestiona. OneDrive aporta una forma cómoda de compartir ficheros concretos y, en la configuración actual, añade una protección especialmente útil: los accesos de invitados caducan automáticamente a los 120 días.
La mejor protección sigue siendo combinar esa automatización con decisiones sencillas: mantener los documentos en los servicios institucionales, compartir solo lo imprescindible, conceder el permiso mínimo y retirarlo cuando termina la necesidad.
Antes de enviar un fichero a otra nube, párate y comprueba si puedes compartirlo desde el entorno institucional. Y si no tienes claro qué información puede salir, quién debería acceder o durante cuánto tiempo, pide ayuda.
El mejor acceso externo es el que existe solo mientras hace falta.
