Usuarios y seguridad
Diseña roles por responsabilidad
Evita conceder permisos persona por persona. Crea roles como Ventas, Producto, Planificación, Inventario, Calidad, Finanzas, Administrador y Auditor. Asigna a cada rol sólo las acciones necesarias.
| Rol | Trabajo principal | Datos sensibles habituales |
|---|---|---|
| Ventas | CRM, cotizaciones y pedidos | Precios; margen sólo si se autoriza |
| Producto | Fichas, BOM, rutas y arte | Costos estándar |
| Planificación | Demanda, OP, fechas y capacidad | Costos limitados |
| Inventario | Recepciones, movimientos, reservas y conteos | Sin margen comercial |
| Calidad | Inspecciones, NCR y disposiciones | Evidencia y trazabilidad |
| Finanzas | Facturas, cobros, costos e integración | Importes y datos fiscales |
| Auditor | Lectura de historial y evidencias | Sin comandos operativos |
Limita el alcance
Un mismo rol puede limitarse por entidad legal, sede o bodega. Por ejemplo, un operador de inventario de Cuenca no necesita acceso a Quito. Revisa tanto el rol como el alcance cuando alguien no ve un documento.
Invitar a un usuario
- Abre Configuración → Miembros.
- Selecciona Invitar miembro.
- Ingresa el correo exacto.
- Elige rol y alcance.
- Revisa el resumen y envía.
- Confirma que la persona aceptó antes de asignarle tareas críticas.
Revoca la invitación si el destinatario o alcance es incorrecto; no la edites después de enviada.
MFA y step-up
Owner, Admin, Finanzas y responsables de billing deben usar TOTP. Otras personas pueden recibir una solicitud de código al ejecutar una acción de alto riesgo.
El código MFA:
- demuestra que el actor volvió a autenticarse recientemente;
- no sustituye el permiso requerido;
- no elimina la separación entre solicitante y aprobador;
- nunca debe compartirse por chat o correo.
Separación de funciones
Configura al menos dos actores para estos flujos:
- solicitar y aprobar descuentos excepcionales;
- solicitar y aplicar cambios de pedido confirmado;
- registrar y aprobar ajustes o pérdidas de inventario;
- proponer y aprobar scrap o concesiones;
- preparar y autorizar operaciones financieras sensibles.
Cambios de equipo
Cuando una persona cambia de función, modifica sus grants y reasigna tareas. Cuando sale de la empresa:
- Suspende la membresía inmediatamente.
- Revoca sesiones e invitaciones.
- Reasigna tareas, oportunidades y aprobaciones.
- Conserva auditoría e historial; no borres al actor.
Revisión mensual de acceso
- No existen invitaciones antiguas sin justificar.
- Las personas suspendidas no conservan grants activos.
- Los roles privilegiados tienen MFA vigente.
- Los alcances corresponden a las sedes actuales.
- Ninguna persona puede solicitar y aprobar su propia excepción crítica.