Cómo asignar un responsable a cada aplicación de la empresa

Elegir a quien puede decidir

El responsable de negocio debe conocer para qué se utiliza la aplicación, qué información contiene y qué ocurre si deja de funcionar. Suele ser quien dirige el proceso, no necesariamente quien pagó la última factura. Pídele que valide usuarios autorizados, criticidad, necesidad de continuidad y cambios de alcance.

Si dos departamentos comparten la herramienta, designa una persona que resuelva los desacuerdos y documenta a quién debe consultar. «Responsable: administración» deja abierta la pregunta cuando hay vacaciones, una baja o una compra urgente. Registra nombre, cargo y sustituto con un canal corporativo vigente.

Separar responsabilidad de privilegios

El responsable técnico mantiene configuración, integraciones y relación con soporte. No tiene por qué aprobar exportaciones de datos o incorporar un nuevo departamento. Del mismo modo, ser dueño del proceso no justifica recibir permisos de administrador. Describe por separado quién solicita, quién autoriza y quién ejecuta cada cambio.

Crea una ficha con aplicación, finalidad, proveedor, enlace al contrato, datos tratados, responsable de negocio, técnico y suplentes. Añade renovaciones y dependencias importantes: identidad corporativa, correo de recuperación o una integración con facturación. El CSF de NIST pide responsabilidades definidas; esta ficha es una propuesta práctica para concretarlas.

Comprobar la asignación con una decisión pequeña

Antes de dar el reparto por cerrado, plantea un caso: una persona necesita acceso a un informe financiero. El responsable de negocio debe determinar si procede y con qué alcance; soporte comprueba qué rol lo permite y aplica el cambio autorizado. Guarda la aprobación y el resultado en el canal acordado.

Revisa las fichas cuando cambie la organización o se renueve el servicio. Si el proveedor dice que solo reconoce al titular de la cuenta, comprueba ese dato en su contrato y portal: tu nombramiento interno no cambia automáticamente la autoridad contractual. Una aplicación sin interlocutor disponible debe quedar señalada como riesgo pendiente, con una persona encargada de resolverlo.

Fuentes y documentación

• NIST Cybersecurity Framework 2.0 — Marco para inventariar activos, asignar responsabilidades y gestionar su ciclo de vida; no prescribe esta plantilla.
• Microsoft: buenas prácticas para roles de Entra — Aplicar privilegios mínimos y limitar las funciones administrativas al trabajo necesario.