En una empresa pequeña, lo más común es entregar a cada empleado una computadora con el mismo poder de decisión que el técnico de TI: puede instalar lo que quiera, apagar el antivirus si "molesta", aceptar cualquier aviso que aparezca en la pantalla. Según el informe State of Ransomware 2026, de Sophos, hecho con casi 2.200 responsables de TI en 17 países, el equipo del propio empleado fue el punto de entrada en el 30% de los ataques de secuestro de datos — detrás solo de un sistema o aplicación expuesta en internet (38%).
El recorte para Brasil del mismo estudio, publicado en julio de 2026, muestra la otra cara de la misma moneda: el correo malicioso fue la causa técnica más común en el país, presente en el 37% de los ataques — la mayor proporción entre todos los países del estudio — por delante de la vulnerabilidad explotada (24%) y el phishing, el correo falso que se hace pasar por alguien de confianza (18%). El correo malicioso solo funciona si alguien abre el adjunto o hace clic en el enlace. Y lo que ese clic logra hacer después depende de un detalle que casi ninguna empresa pequeña se pregunta: con qué poder esa persona inició sesión en la computadora.
Esa pregunta suena técnica, pero decide el tamaño del daño. En una máquina donde el empleado es administrador, el programa que abrió por error hereda ese mismo poder: instala lo que quiera, apaga la protección, se propaga a otras computadoras de la red. En una máquina donde no lo es, el mismo clic choca con una puerta cerrada.
Lo que el poder de administrador realmente habilita
Ser administrador de una computadora no es solo "poder instalar programas". Es poder cambiar cualquier configuración del sistema, apagar el antivirus, alterar la conexión de red, leer carpetas de otras cuentas de la misma máquina y borrar el registro de lo que pasó ahí. Es el mismo nivel de acceso que usa el técnico de TI para reparar la computadora — entregado, por defecto, a quien solo lo necesita para trabajar.
Microsoft describe esa diferencia en la documentación del Control de Cuentas de Usuario, la función de Windows que pregunta "¿desea permitir esto?" antes de cualquier cambio importante. Según esa misma documentación, el objetivo de la función es limitar "el acceso que el código malicioso tiene para ejecutarse con privilegios de administrador" — la protección supone que la persona inició sesión como usuario estándar, y solo pide el poder extra cuando realmente lo necesita.
El problema es que esa protección deja de funcionar si la cuenta del día a día ya es de administrador. En ese caso, el aviso que debería ser una barrera se convierte en un clic automático en "sí" — la misma persona que abrió el adjunto malicioso también aprueba, sin darse cuenta, su instalación.
Por eso la barra de herramientas que aparece de la nada en el navegador, el "conversor de PDF" descargado de cualquier sitio, o el juego instalado en la computadora de la caja no son solo desorden visual. Cada uno de esos programas, en una cuenta de administrador, tuvo licencia para instalarse solo, cambiar la página de inicio del navegador, leer lo que pasa por la pantalla y seguir funcionando en silencio después de que la persona olvida que existe.
Cuando el programa es realmente malicioso, ese mismo poder se usa para otra cosa: desactivar el antivirus antes de actuar, copiar archivos de la propia máquina, y tratar de entrar a otras computadoras de la misma red usando el acceso que esa cuenta ya tenía.
Por qué "así no puedo trabajar" es el reclamo equivocado
La forma común de manejar esto es no manejarlo: dejar a todos con poder de administrador porque quitarlo da trabajo, genera un error en algún programa viejo y un reclamo casi inmediato — "así no puedo trabajar". Ante eso, el camino más corto suele ser devolver el privilegio y seguir adelante.
Ese reclamo suena razonable, pero nace de una comparación equivocada. La elección no es entre "tener poder de administrador" y "no poder trabajar". Es entre dos formas de conseguir un programa nuevo: una en la que la persona misma lo resuelve, sin que nadie sepa qué entró en esa máquina; y otra en la que lo pide, alguien lo aprueba en minutos, y el programa se instala de forma segura — por la misma persona que lo habría hecho de todas formas.
El costo del primer camino no aparece de inmediato. Aparece semanas después, cuando nadie recuerda por qué esa computadora está más lenta, por qué el antivirus está apagado, o por qué el navegador abre una página de publicidad antes que cualquier sitio. Cada máquina se vuelve una versión distinta de las demás, y el técnico que necesita reparar una de ellas empieza de cero, sin saber qué se instaló, cuándo ni quién lo pidió.
Quitar el poder de administrador sin poner nada en su lugar sí frena algunas tareas — y por eso mismo existe el reclamo. El error no es escuchar el reclamo; es resolverlo devolviendo el mismo poder de siempre, en vez de crear una forma rápida de pedir lo que falta.
Lo que tiene que existir en la práctica
Un entorno bien cuidado separa dos cosas que la mayoría de las empresas pequeñas tratan como una sola: usar la computadora y administrar la computadora.
Cuenta estándar para el uso diario, sin privilegio de administrador. Cada empleado inicia sesión con una cuenta que no instala programas ni cambia la configuración del sistema. Solo quien se ocupa de TI tiene una cuenta separada, usada exclusivamente para eso.
Un canal simple para pedir una instalación. Cuando alguien realmente necesita un programa nuevo, existe una forma rápida de pedirlo — un ticket, un mensaje — con respuesta en minutos u horas, no un "después alguien lo revisa".
Lista de lo que ya viene autorizado. Los programas que el rol de la persona realmente exige — lector de documentos, navegador, editor de hojas de cálculo — están disponibles de fábrica, para que el pedido no se convierta en un cuello de botella en cada tarea común.
Registro de quién pidió qué. Toda instalación queda documentada. Si un programa problemático aparece meses después, se puede saber exactamente cuándo entró y a pedido de quién.
Antivirus y actualizaciones de seguridad que la propia persona no puede apagar. Incluso en una cuenta estándar, nadie debería poder desactivar la protección haciendo clic en "descartar" en un aviso.
Acceso según la función de cada persona, revisado cada cierto tiempo. El vendedor no necesita el mismo poder que el técnico de red — y esa distribución se revisa periódicamente, no se decide una vez y se olvida.
Así es como trabaja Skills IT: cuenta estándar para el día a día, un canal de tickets para pedir instalaciones y antivirus gestionado que nadie apaga por su cuenta.
Lo que gana la empresa al quitarle ese poder a todos
La ganancia más directa es menos equipos parados. Una máquina sin poder de administrador suelto es una máquina más difícil de infectar — y más fácil de reconstruir cuando algo pasa, porque el técnico sabe exactamente qué tenía instalado.
Piense en la computadora de la caja de una tienda, con un juego instalado por curiosidad de algún empleado. Si esa máquina se traba o se infecta en medio de una venta, el perjuicio no es solo la reparación: es la fila detenida, el cliente esperando, la caja manual improvisada mientras alguien lo resuelve. En una cuenta sin privilegio de administrador, el juego simplemente no habría podido instalarse solo — y la conversación, si hacía falta, habría ocurrido antes, al pedirlo, no después, al repararlo.
El equipo del propio empleado fue el punto de entrada en el 30% de los ataques de secuestro de datos.
También hay una ganancia menos visible: previsibilidad. Cuando toda máquina sigue la misma lista de programas autorizados, el técnico que atiende un ticket no necesita investigar desde cero qué tiene esa computadora de distinto a las demás. Eso es tiempo de equipo resolviendo el problema, en vez de tiempo de equipo descubriendo qué cambió.
Y hay una ganancia financiera directa: menos máquinas reinstaladas desde cero, menos empleados parados esperando que la computadora vuelva, y menos retrabajo de un técnico repitiendo, en cada visita, una limpieza que un control simple habría evitado.
Preguntas para llevar a la próxima reunión
Antes de decidir si vale la pena cambiar esto, algunas preguntas ayudan a medir el tamaño del riesgo actual:
- ¿Cuántas personas, hoy, pueden instalar cualquier programa en cualquier computadora de la empresa? Si la respuesta es "todos", ese número es también el tamaño de la puerta de entrada.
- ¿Existe una forma rápida y clara de pedir un programa nuevo? Si la respuesta es "le escribo a alguien y espero", esa demora es la razón por la que la gente lo resuelve por su cuenta.
- ¿Quién decide qué entra en la lista de programas autorizados, y cada cuánto se revisa esa lista? Una lista que nunca cambia se convierte, con el tiempo, en otra versión del mismo desorden.
- ¿El antivirus puede ser apagado por la propia persona que usa la computadora? Si la respuesta es sí, el control existe solo hasta el primer aviso molesto.
- Si alguien del equipo abriera ahora un adjunto malicioso, ¿qué le permitiría hacer ese equipo por su cuenta? Esa pregunta resume todas las demás.
