Seguridad en CDE y portales de proyecto: 6 riesgos frecuentes en construcción
Planos, modelos BIM y contratos circulan entre decenas de empresas en cada obra. Los seis riesgos de seguridad más frecuentes en CDE como Trimble Connect o Autodesk Construction Cloud, y cómo revisarlos.
Un proyecto de construcción mediano puede involucrar a decenas de empresas: mandante, oficina de arquitectura, ingenierías, constructora, subcontratistas, proveedores e inspección técnica. Todas necesitan acceder a planos, modelos, especificaciones y contratos, y casi siempre lo hacen a través de un entorno común de datos (CDE), como Trimble Connect o Autodesk Construction Cloud, o de un portal de proyecto propio.
Estas plataformas ofrecen controles de seguridad sólidos. El problema rara vez es la plataforma: es cómo se configura y se administra durante años de proyecto, con equipos que entran y salen. Estos son los seis riesgos que aparecen con más frecuencia.
1. Accesos que sobreviven a la obra
Un subcontratista termina su partida, pero sus cuentas siguen activas. Meses después, alguien que ya no trabaja en esa empresa todavía puede descargar los planos del proyecto, o de los siguientes, si su usuario quedó asociado a la organización.
Qué revisar: un proceso de baja de usuarios al cerrar cada contrato, revisiones periódicas de las cuentas activas por empresa y alertas sobre cuentas sin uso en los últimos 60 a 90 días.
2. Permisos demasiado amplios
Por urgencia, es común dar acceso de “miembro del proyecto” o de administrador a quien solo necesitaba ver una carpeta. Con el tiempo, los permisos heredados entre carpetas hacen que nadie sepa con certeza quién ve qué.
Qué revisar: roles definidos por tipo de empresa (diseño, constructora, subcontratista, proveedor), permisos por carpeta según el mínimo necesario y una revisión de los permisos heredados en las carpetas sensibles: contratos, presupuestos, seguridad física del edificio e información personal de trabajadores.
3. Enlaces compartidos que nunca expiran
Compartir un plano o un modelo mediante un enlace es cómodo. Pero un enlace público sin contraseña ni fecha de expiración puede terminar reenviado por correo o WhatsApp, o indexado, mucho después de que dejó de ser necesario.
Qué revisar: políticas que exijan expiración y contraseña en los enlaces externos, un inventario periódico de los enlaces activos y la desactivación de los enlaces públicos en las carpetas críticas.
4. Cuentas sin MFA o compartidas
En obra es habitual que varias personas usen la misma cuenta “de terreno” en una tablet, o que las cuentas de empresas externas no tengan autenticación multifactor. Una sola contraseña filtrada da acceso a todo lo que esa cuenta puede ver.
Qué revisar: MFA obligatorio para todos, incluidos los externos; SSO con el directorio corporativo cuando sea posible; y la eliminación de cuentas genéricas o compartidas.
5. Integraciones y tokens de API olvidados
Los CDE se conectan con otras herramientas: software de planificación, ERP, plataformas de reportes y scripts internos. Cada integración usa credenciales o tokens que a veces tienen más permisos de los necesarios y que nadie rota.
Qué revisar: un inventario de las aplicaciones conectadas, el alcance de cada token, quién lo creó y cuándo se rotó por última vez, y la eliminación de las integraciones que ya no se usan.
6. Portales propios conectados al CDE
Muchas constructoras e inmobiliarias desarrollan sus propios portales para clientes, proveedores o postventa, conectados a la información del proyecto. Ahí aparecen fallas clásicas de aplicaciones web, como la autorización insuficiente entre empresas: un proveedor que, cambiando un identificador en la URL, ve los documentos o las órdenes de compra de otro.
Qué revisar: pruebas de autorización entre usuarios y entre empresas (IDOR), revisión de cómo el portal consume la API del CDE y del manejo de tokens, y protección de la descarga masiva de archivos.
Una revisión de seguridad para AEC
Una revisión de un entorno de proyecto combina dos miradas:
- Configuración: quién tiene acceso a qué, qué enlaces y qué integraciones existen, y si se aplican MFA y SSO.
- Pruebas técnicas: pentest de los portales propios y de sus integraciones, con foco en la autorización entre empresas y la fuga de documentos.
El resultado debería ser un reporte que el equipo de proyecto y TI puedan ejecutar: qué cerrar esta semana, qué ajustar en los procesos de alta y baja de usuarios, y qué corregir en las aplicaciones propias.
Los planos y modelos de un proyecto pueden revelar la distribución de un edificio, sus sistemas de seguridad o información comercial sensible. Protegerlos es tan importante como proteger los datos personales.