Protocolo de Seguridad para la Gestión de Redes Sociales Corporativas

1. Creación y Propiedad de la Cuenta: La Base Segura

El punto inicial define el nivel de control que la empresa tendrá sobre su activo digital.

• Correo corporativo dedicado: La cuenta debe crearse utilizando una dirección de correo electrónico exclusiva para la gestión de redes sociales (ej. socialmedia@tuempresa.com). Este correo no debe ser personal ni compartido con otros servicios para centralizar las notificaciones de seguridad y evitar la dependencia de cuentas de empleados .
• Dispositivo corporativo para el 2FA: La autenticación en dos pasos (2FA) debe configurarse obligatoriamente en un dispositivo de propiedad de la empresa (un teléfono corporativo o una tableta designada), nunca en el teléfono personal de un empleado. Esto garantiza que, ante la salida de un colaborador, el método de verificación permanezca en la organización.

2. Configuración de la Autenticación en Dos Pasos (Paso a Paso)

Activar el 2FA es la barrera más efectiva contra accesos no autorizados, incluso si la contraseña se ve comprometida . Se debe priorizar el uso de aplicaciones autenticadoras sobre el SMS, por ser más seguras.

• Instagram:
  1. Accede a tu perfil y toca el menú de las tres líneas.
  2. Ve a Configuración y privacidad > Centro de cuentas > Contraseña y seguridad.
  3. Selecciona Autenticación de dos factores y elige la cuenta a proteger.
  4. Elige Aplicación de autenticación (recomendado) y sigue los pasos para vincular la app corporativa (Google Authenticator, Microsoft Authenticator, etc.).
  5. Almacena los códigos de recuperación de forma segura en el gestor de contraseñas corporativo (ver punto 4).
• Facebook:

• 1. Haz clic en tu foto de perfil y ve a Configuración y privacidad > Configuración.
  2. Navega a Centro de cuentas > Contraseña y seguridad > Autenticación de dos factores.
  3. Selecciona la cuenta y haz clic en Editar. Elige Aplicación de autenticación como método preferente.
  4. Escanea el código QR con la app del teléfono corporativo e ingresa el código de verificación.
  5. Guarda los códigos de respaldo en el gestor de contraseñas.

• X (Twitter):

• 1. Desde la cuenta corporativa, ve a Más > Configuración y soporte > Configuración y privacidad.
  2. Accede a Seguridad y acceso a la cuenta > Seguridad > Autenticación de dos factores.
  3. Marca la opción Aplicación de autenticación. Sigue las instrucciones para vincular la app del teléfono corporativo.
  4. Anota y almacena los códigos de respaldo de forma segura .

• TikTok:

• 1. Ve a tu perfil y toca el menú de las tres líneas en la parte superior.
  2. Selecciona Configuración y privacidad > Seguridad.
  3. Pulsa en Verificación en 2 pasos y actívala.
  4. Elige el método Aplicación de autenticación y vincúlala con el dispositivo corporativo .

3. Almacenamiento Seguro de Credenciales

Guardar las contraseñas y códigos de recuperación en documentos de texto, hojas de cálculo sin protección o en notas del teléfono es un riesgo crítico .

• Gestor de contraseñas empresarial: La empresa debe implementar un gestor de contraseñas corporativo (como NordPass, 1Password, Bitwarden, One Identity o CyberArk) .
• Qué almacenar: En este «almacén» o «bóveda» digital se debe guardar:
  • Correo electrónico y contraseña de la cuenta.
  • Códigos QR de respaldo de la aplicación de autenticación (para poder reconfigurar el 2FA en un nuevo dispositivo si fuera necesario) .
  • Los códigos de recuperación de todas las plataformas.
• Control de acceso: El acceso a esta bóveda debe estar restringido estrictamente a las personas que necesitan administrar la configuración de las cuentas (propietarios), no a todo el equipo de marketing.

4. Medios de Recuperación Actualizados

Las plataformas utilizan el correo electrónico y el teléfono para verificar la identidad y permitir la recuperación de la cuenta.

• Verificación anual: Se debe establecer una revisión semestral para asegurar que el correo electrónico de recuperación y el número de teléfono asociado a la cuenta (que debe ser el del dispositivo corporativo) son correctos y están accesibles.
• Correo de respaldo: El correo electrónico de recuperación debe ser el correo dedicado de social media o el de un responsable de seguridad, nunca el correo personal de un empleado.

5. Delegación de Accesos a Colaboradores (El Principio de Mínimo Privilegio)

Compartir la contraseña de la cuenta principal es una mala práctica que elimina la trazabilidad y aumenta el riesgo de accesos no deseados . Cuando un empleado se marcha, cambiarla no basta si la sesión sigue abierta en sus dispositivos o si la tenía guardada en su gestor personal.

• Usar herramientas nativas de delegación: La mayoría de las plataformas permiten otorgar acceso sin compartir la contraseña. Esta debe ser la única forma de dar acceso al equipo de contenido.
  • Meta (Facebook/Instagram): Usar Meta Business Suite. Se invita a las personas por correo electrónico y se asignan roles con permisos específicos (Ej. «Empleado» con acceso limitado a estadísticas y creación de contenido, sin poder gestionar usuarios o la configuración de seguridad).
  • X (Twitter): Utilizar la función Delega. Permite añadir administradores o colaboradores que actúan en nombre de la cuenta sin conocer la contraseña. El propietario retiene el control total sobre la seguridad .
  • TikTok: Usar el Centro de negocios para invitar a miembros del equipo con roles personalizados .
• ¿Por qué no deben tener acceso «100%»? :
  • Riesgo interno: Un colaborador descontento podría tomar el control, cambiar la contraseña y el 2FA si tiene acceso total .
  • Responsabilidad: Si todos usan la misma clave y se publica algo incorrecto, es imposible auditar quién fue el responsable.
  • Trazabilidad: Las herramientas de delegación registran qué usuario realizó cada acción, facilitando la supervisión.

6. Revisión Periódica y Caducidad de Accesos

La seguridad no es estática. Se debe programar una auditoría trimestral de las cuentas.

• Revisar miembros: En el centro de negocios de cada plataforma, revisar la lista de personas con acceso .
• Eliminar accesos inactivos: Inmediatamente después de un cambio de rol o baja de un empleado, se debe proceder a revocar su acceso en la plataforma de delegación (Meta Business, X Delega, etc.) y rotar la contraseña de la bóveda principal si fuese necesario.
• Verificar sesiones activas: Revisar dónde está iniciada la sesión de la cuenta para cerrar cualquier dispositivo antiguo o no reconocido .

Resumen de Buenas Prácticas

Aspecto Clave	Acción Requerida	Herramienta/Responsable
Propiedad	Usar correo corporativo y teléfono de la empresa.	Departamento de IT / Marketing
Autenticación	Activar 2FA con app autenticadora en dispositivo corporativo.	Administrador de la cuenta
Almacenamiento	Guardar credenciales y códigos de respaldo en gestor empresarial.	Gestor de contraseñas (ej. NordPass)
Recuperación	Mantener email/teléfono de recuperación actualizados y corporativos.	Revisión semestral por IT
Acceso diario	Delegar permisos vía herramientas nativas, no compartir la contraseña.	Meta Business, X Delega, TikTok Bus.
Cese de empleado	Revocar acceso inmediato en plataformas y rotar credenciales.	Responsable de Redes / RRHH

Siguiendo este protocolo, la empresa minimiza el riesgo de pérdida de cuentas y asegura que el control de su identidad digital permanezca siempre en manos de la organización.