Chatteando
Aprende a prevenir fugas de datos corporativos eligiendo la estructura correcta al invitar subcontratas a tu ecosistema digital.
La gestión de colaboradores externos se ha convertido en una tarea de alto riesgo para la seguridad de la información. En 2026, la frontera entre empleado interno y subcontrata es porosa, y las herramientas de colaboración no siempre facilitan la distinción. He observado cómo departamentos de tecnología y legal entran en conflicto debido a una decisión aparentemente inocua: elegir entre un canal privado o un mensaje directo (MD) grupal para incluir a un proveedor en Microsoft Teams.
El error no radica en la herramienta, sino en comprender dónde viven los datos y quién tiene la llave para abrirlos. La diferencia no estética; es arquitectónica y tiene implicaciones directas en la confidencialidad.
El instinto natural cuando necesitamos resolver una incidencia urgente con un proveedor de software o una agencia de marketing es crear un chat grupal. Parece rápido, informal y "menos permanente" que un canal. Sin embargo, esta informalidad oculta un problema de seguridad masivo relacionado con la propiedad de los datos.
Cuando creas un mensaje directo grupal que incluye un usuario externo (un invitado B2B), los archivos que se adjuntan a esa conversación se almacenan en la cuenta de OneDrive para la Empresa de la persona que inició el chat o subió el archivo. Esto significa que, si un empleado interno comparte un contrato sensible en un chat grupal con tres compañeros y un consultor externo, ese archivo reside en el espacio personal del empleado, no en un repositorio corporativo controlado.
El riesgo es tangible. Si el empleado que aloja el archivo en su OneDrive deja la empresa, sus permisos se revocan y el enlace compartido en el chat puede romperse, o peor, el archivo puede quedar en un limbo de acceso si las políticas de retención no se aplican correctamente. Además, la gestión de permisos en un MD es frágil; cualquier participante con permisos de edición puede, sin darse cuenta, compartir ese archivo con terceros fuera del grupo original. Veremos cómo Slack vs Mattermost: ¿cuál sobrevive mejor a una auditoría de datos bancarios? nos enseña que la procedencia del archivo es tan importante como el cifrado del mensaje.
Por el contrario, un canal privado dentro de un Equipo existente cambia radicalmente la topología de la información. Al invitar a un usuario externo a un canal privado, no le estamos dando acceso al chat global del equipo ni a los canales públicos, sino a una subsección aislada.
Aquí es donde entra la distinción crítica para los responsables de seguridad: los archivos en un canal privado, independientemente de si el canal es privado o público dentro del equipo, se almacenan en una colección de sitios de SharePoint separada (específicamente, el sitio del equipo padre), pero con una estructura de permisos única.
Microsoft implementa una técnica llamada "acceso de derivación" (bypass access). A diferencia del chat grupal, donde el archivo vive en el OneDrive personal, el archivo en el canal privado vive en el SharePoint corporativo. Esto permite al departamento de TI aplicar políticas de retención, Prevención de Pérdida de Datos (DLP) y auditoría de acceso de manera centralizada. Si el proveedor necesita firmar un NDA o subir una factura, ese documento entra directamente en el ecosistema gobernado de la empresa, no en un disco personal mal gestionado.
La visibilidad está estrictamente limitada a los miembros de ese canal privado específico. Incluso los propietarios del equipo general no tienen acceso automático a ese canal a menos que sean añadidos explícitamente. Esto crea un "compartimento estanco" necesario para auditorías de cumplimiento, algo imposible de garantizar con chats grupales informales.
Para ilustrar por qué esto importa, pensemos en una situación real que documentamos el mes pasado en una empresa logística. Imaginemos a "Torre de Control", una empresa que gestiona flotas de camiones. Decidieron externalizar el mantenimiento de su interfaz de usuario a una agencia de diseño externa.
El jefe de proyecto creó un chat grupal en Teams con él mismo, dos desarrolladores internos y tres diseñadores de la agencia. Para agilizar el trabajo, el desarrollador interno arrastró un archivo CSV que contenía las rutas detalladas de entrega y los horarios de conductores (información sensible competitiva) al chat.
Al estar en un MD grupal, ese archivo se alojó en el OneDrive del desarrollador. Aunque el desarrollador tenía buenas intenciones, su configuración personal de OneDrive permitía que los archivos con enlaces de uso compartido fueran visibles para cualquier persona de la organización con el enlace. Un mes después, un empleado de recursos humanos, buscando plantillas de contratos, encontró accidentalmente este archivo en la sección "Compartido conmigo" de su propio OneDrive. No hubo hackeo, solo un fallo en la arquitectura de permisos por usar la herramienta equivocada.
Si hubieran utilizado un canal privado, el archivo habría residido en SharePoint de "Torre de Control". La política de DLP de la empresa habría detectado datos sensibles (números de identificación fiscal, rutas) y habría bloqueado el acceso o marcado el archivo antes de que el usuario externo pudiera descargarlo, aplicando las etiquetas de confidencialidad que protegen la propiedad intelectal.
No todo es perfecto con los canales privados. Existe un coste de gestión administrativo. Para añadir a un usuario externo a un canal privado, primero debe ser miembro del equipo padre (el Equipo de Microsoft Teams) pero no tener acceso a otros canales. Esto a veces confunde a los administradores de TI que temen que al añadir al usuario al equipo "Marketing", este pueda ver todo el historial del chat general.
Es necesario configurar el equipo con el ajuste de "Privado para los propietarios del equipo" o gestionar meticulosamente la membresía. Si se hace mal, la fuga de información se produce en sentido contrario (el externo viendo cosas de la empresa). Sin embargo, una vez superada la barrera de configuración, el control es muy superior.
Otro punto de fricción es la experiencia de usuario para el invitado. Un usuario externo puede encontrar menos intuitivo navegar por la estructura de Equipos > Canales Privados que simplemente abrir un chat en su lista de chats activos. Pero, como editores enfocados en resolución de problemas, creemos que una pequeña fricción en la experiencia de usuario es un precio aceptable para evitar una fuga de datos corporativos masiva. Cómo redujimos el tráfico interno de emails un 80% forzando el uso de hilos en Slack demostró que forzar una disciplina de herramienta genera beneficios a largo plazo, y el principio aplica aquí: disciplina de arquitectura ahorra dolores de cabeza legales.
La tendencia para finales de este año no es abrir más chats, sino cerrar mejor los existentes. La inteligencia artificial que procesa nuestras comunicaciones empresariales solo es tan buena como los datos que alimenta; si los datos de clientes están dispersos en chats grupales personales en lugar de repositorios estructurados, la IA de la empresa no puede auditar, ni clasificar, ni proteger esa información.
Elegir un canal privado para una subcontrata no es ser burocrático; es una medida de higiene digital. Garantiza que, cuando la relación con el proveedor termine, podamos revocar su acceso con un clic y saber con certeza que ningún archivo permanece en su posesión porque nunca vivió en su espacio personal, sino en el nuestro bajo nuestras reglas. La próxima vez que vayas a dar clic en "Nuevo chat" con un invitado externo, pregúntate: ¿quieres que este archivo viva en el bolsillo de alguien o en la caja fuerte de la empresa?
Mattermost ofrece el control absoluto sobre los datos y la infraestructura que Slack no puede igualar, posicionándose como la única opción viable para entidades financieras que enfrentan auditorías de cumplimiento severas en 2026.
Pasamos de 300 notificaciones diarias por empleado a una comunicación filtrada y contextualizada aplicando una regla estricta de hilos anidados.
