Cómo controlar quién usa los certificados digitales en tu asesoría

Hay una pregunta que muy pocos responsables de asesoría pueden responder con seguridad en este momento: ¿quién tiene acceso a los certificados digitales de tus clientes?
No quién debería tenerlo. Quién lo tiene realmente.
En muchos despachos, la respuesta honesta es: todo el equipo. O al menos, todo el que en algún momento necesitó usarlos y sabe dónde están guardados. Sin distinción de cliente, sin distinción de función, sin registro de cuándo ni para qué.
Eso no es control. Es confianza. Y la confianza, aunque necesaria en cualquier equipo, no es suficiente cuando se gestionan activos con efectos legales en nombre de terceros.
Controlar quién usa los certificados digitales de los clientes no es desconfiar del equipo. Es asumir con rigor la responsabilidad que conlleva custodiar su identidad digital.

El problema con «todo el mundo tiene acceso»
En la mayoría de las asesorías, los certificados digitales de los clientes se guardan en un lugar compartido al que puede acceder cualquiera del equipo. La lógica es sencilla: si alguien necesita hacer un trámite y quien lleva ese cliente no está, otro pueda cubrirlo.
Es una lógica razonable. El problema es que, llevada al extremo, elimina cualquier posibilidad de control real.
Si todo el mundo puede acceder a todo, no hay forma de saber quién accedió a qué, cuándo y con qué propósito. No hay forma de detectar un uso incorrecto hasta que sus consecuencias ya son visibles. Y no hay forma de responder con precisión si un cliente pregunta quién ha gestionado sus certificados en los últimos meses.
El acceso universal resuelve el problema de la disponibilidad, pero crea un problema mayor: la opacidad total sobre el uso de uno de los activos más sensibles que gestiona un despacho profesional.

Por qué el control de accesos a certificados digitales importa más de lo que parece
Los certificados digitales no son archivos ordinarios. Son documentos con capacidad legal: permiten actuar en nombre de una empresa, presentar declaraciones ante la Agencia Tributaria, gestionar notificaciones con efectos jurídicos y firmar documentos con validez legal.
Cada uso de un certificado digital tiene consecuencias reales para el cliente. Y si ese uso no está controlado ni registrado, esas consecuencias pueden ser difíciles de explicar o de revertir.
Hay tres razones concretas por las que el control de accesos a certificados digitales importa en el día a día de una asesoría:
La responsabilidad ante el cliente. Si algo sale mal en un trámite, el cliente querrá saber quién lo gestionó y cómo. Sin control de accesos, esa respuesta no existe.
La seguridad de la información. Un certificado accesible para todo el equipo sin distinción es un certificado expuesto a usos no autorizados, errores de identificación o filtraciones en caso de salida de personal.
El cumplimiento normativo. El RGPD obliga a adoptar medidas técnicas y organizativas para proteger los datos personales de los clientes. El control de quién accede a sus certificados digitales es una de esas medidas.

Los escenarios de riesgo más frecuentes
El técnico que cubre a un compañero sin saber exactamente qué está gestionando.
Cuando alguien accede al certificado de un cliente que no lleva habitualmente, el riesgo de confusión aumenta. Mismo nombre de empresa, distintas figuras jurídicas, certificados de distintos tipos. Un error en ese contexto puede tener consecuencias reales.
El empleado que deja el despacho con acceso todavía activo.
Si los certificados están en una carpeta compartida a la que ese empleado sigue teniendo acceso, o si los tiene guardados en su propio equipo, el control sobre la información de los clientes ha desaparecido. Y nadie lo ha notado.
El acceso desde dispositivos no seguros.
Sin control de accesos, no hay forma de saber si alguien ha accedido a los certificados desde un ordenador personal, una red no segura o un dispositivo compartido. Eso multiplica la superficie de riesgo sin que nadie lo haya decidido conscientemente.
El uso del certificado equivocado por error.
Cuando los certificados de varios clientes están en el mismo lugar sin una estructura clara, usar el certificado de una empresa para gestionar un trámite de otra es un error que puede pasar. Y cuyas consecuencias pueden ser complejas de resolver.
La renovación gestionada por alguien que no debería.
Si no hay control sobre quién puede hacer qué con los certificados, cualquier miembro del equipo podría iniciar un proceso de renovación sin tener el conocimiento o la autorización necesaria para hacerlo correctamente.

Qué significa tener control real sobre el uso de certificados digitales
Controlar quién usa los certificados digitales no significa monitorizar cada movimiento del equipo. Significa tener un sistema que responda con fiabilidad a estas preguntas:
¿Quién puede acceder al certificado de este cliente? Que no sea «cualquiera», sino personas concretas con una razón concreta para tenerlo.
¿Quién accedió al certificado de este cliente en los últimos tres meses? Una lista real, con fechas, no una estimación basada en quién lleva ese cliente habitualmente.
¿Qué se hizo con ese certificado? Para qué trámite se usó, con qué resultado y si hubo alguna incidencia.
¿Sigue teniendo acceso alguien que ya no debería? Un empleado que se fue, un colaborador externo cuyo proyecto terminó, alguien que cambió de función dentro del despacho.
Cuando esas preguntas tienen respuesta rápida y fiable, el control es real. Cuando no la tienen, el control es una ilusión.

Cómo establecer un sistema de control de accesos sin complicar el trabajo
El objetivo no es poner barreras que dificulten el trabajo del equipo. Es definir quién necesita qué, asignar los accesos en consecuencia y mantener ese sistema actualizado cuando las cosas cambian.
Define perfiles de acceso por función, no por persona.
No se trata de decidir individualmente quién puede acceder a cada certificado de cada cliente. Se trata de establecer criterios claros: quien lleva la gestión fiscal de un cliente tiene acceso a sus certificados; quien lleva solo la contabilidad, no necesariamente.
Revisa los accesos cuando el equipo cambia.
Incorporaciones, bajas, cambios de función, salida de colaboradores externos. Cada uno de esos momentos requiere una revisión de los permisos asignados. Si no hay un protocolo para eso, los accesos se acumulan y se descontrolan con el tiempo.
Separa el acceso de la custodia.
Que alguien pueda usar un certificado cuando lo necesita no significa que deba tener acceso permanente e irrestricto a él. Un sistema bien diseñado permite que el acceso se active cuando se necesita y quede registrado cuando se produce.
Registra cada acceso de forma automática.
El registro manual no funciona. Si depende de que alguien lo recuerde y lo anote, tarde o temprano deja de hacerse. El registro tiene que ser parte del sistema, no una tarea adicional.
Revisa el historial periódicamente.
Una revisión mensual o trimestral de quién ha accedido a qué certificados permite detectar anomalías, confirmar que los permisos asignados son los correctos y tener visibilidad sobre la operativa real del equipo.

Cómo Cofre ayuda a controlar quién usa los certificados digitales
Implementar un sistema de control de accesos sobre los certificados digitales de los clientes es prácticamente imposible con carpetas compartidas o herramientas genéricas. No porque sea técnicamente complicado, sino porque esas herramientas no están diseñadas para eso.
Cofre resuelve este problema de forma directa. Es una herramienta pensada para asesorías, gestorías y despachos profesionales que necesitan gestionar los certificados digitales de sus clientes con control real sobre quién accede, cuándo y para qué.
Lo que permite en términos concretos de control de accesos:

Permisos por usuario y por certificado. Se puede definir exactamente quién del equipo tiene acceso a los certificados de cada cliente. Ni más ni menos. Ese control es activo y se puede modificar cuando cambian las circunstancias.
Registro automático de accesos. Cada vez que alguien accede a un certificado, queda registrado: quién, cuándo y desde qué contexto. Sin que nadie tenga que anotarlo. Sin que nadie pueda olvidarse de hacerlo.
Historial consultable. Esa información está disponible para quien tenga permisos de revisión, de forma ordenada y con posibilidad de filtrar por cliente, por usuario o por fecha.
Gestión de cambios en el equipo. Cuando alguien se va, sus permisos se revocan. Cuando alguien se incorpora, se le asignan los accesos que corresponden a su función. Sin que los certificados de los clientes queden expuestos ni inaccesibles en ningún momento.
Sin dependencias de personas concretas. El control no depende de que alguien recuerde gestionar los accesos. Está integrado en el sistema y funciona con independencia de quién esté disponible.
Visibilidad para el responsable del despacho. Quien tiene la responsabilidad operativa puede ver, en cualquier momento, el estado de los accesos y el historial de uso, sin tener que preguntar al equipo ni reconstruir nada.

Cofre no añade burocracia al trabajo del equipo. Añade visibilidad y control a quien tiene la responsabilidad de garantizar que los certificados de los clientes se gestionan correctamente.

¿Tienes control real sobre quién usa los certificados digitales de tus clientes?

Responde con honestidad:

• ¿Sabes exactamente qué personas del equipo tienen acceso a los certificados de cada cliente?
• ¿Ese acceso está definido por criterios claros, no porque «alguien lo necesitó en algún momento»?
• ¿Cuando un empleado deja el despacho, sus accesos a los certificados se revocan ese mismo día?
• ¿ Tienes un registro automático de quién ha accedido a cada certificado y cuándo?
• ¿Puedes saber en menos de dos minutos quién usó el certificado de un cliente concreto el mes pasado?
• ¿Nadie puede acceder a los certificados de clientes que no gestiona sin que quede registrado?
• ¿Revisas periódicamente los accesos asignados para asegurarte de que siguen siendo los correctos?
• ¿Si hay una incidencia con un trámite, puedes identificar quién accedió al certificado y cuándo?

Si tienes dudas en tres o más puntos, el control sobre el uso de los certificados digitales de tus clientes es más frágil de lo que debería. No como problema urgente en todos los casos, pero sí como riesgo que crece con el tiempo y con el volumen de clientes.

Controlar quién usa los certificados digitales de los clientes no es una cuestión de desconfianza hacia el equipo. Es una cuestión de responsabilidad profesional hacia los clientes.

Una asesoría que gestiona la identidad digital de decenas o cientos de empresas tiene la obligación de saber, en todo momento, quién accede a esa información, con qué propósito y qué queda registrado de ese acceso. No porque alguien lo exija desde fuera, sino porque es lo que corresponde a quien asume esa responsabilidad.
El control de accesos bien implementado no ralentiza el trabajo. Lo ordena. Y un equipo que trabaja con orden comete menos errores, responde mejor ante los clientes y tiene menos dependencias de personas concretas que, si faltan, generan problemas.