Seguridad de CRM: qué buscar en 2026

La seguridad de un CRM es la forma en que protege los datos de clientes que guarda: el cifrado en tránsito y en reposo, los controles de inicio de sesión y de acceso, el aislamiento entre clientes, un registro de auditoría, las copias de seguridad, el lugar donde se almacenan los datos y las pruebas independientes que respaldan lo que afirma el proveedor. Para evaluarla, pide a cada proveedor los detalles de cada punto; la lista de comprobación de más abajo los enumera.

Tu CRM guarda los datos más sensibles de tu empresa: nombres de clientes, correos, números de teléfono, montos de los negocios, historial de conversaciones y notas internas, así que la seguridad de los datos del CRM es un criterio de compra, no algo secundario. Una brecha de seguridad en tu CRM no es únicamente un problema técnico. Para muchas pequeñas empresas, es un golpe del que no se recuperan. Esta guía explica cómo evaluar la seguridad de un CRM: qué buscar y qué preguntas debería poder responder cada proveedor.

Por qué un CRM es un objetivo

Un CRM concentra justo lo que buscan los atacantes: registros de contactos verificados, montos de negocios y un único inicio de sesión que da acceso a todo. Los ataques de phishing apuntan a las credenciales de las aplicaciones SaaS. Los ataques a la cadena de suministro comprometen las integraciones de terceros. Los grupos de ransomware atacan específicamente a las pequeñas empresas porque a menudo no tienen equipos de seguridad dedicados.

Tu CRM es un objetivo de alto valor por tres razones:

1. Datos personales concentrados. Nombres, correos, números de teléfono y direcciones de cada cliente y de cada lead con el que te has comunicado alguna vez.
2. Inteligencia comercial. Montos de los negocios, datos del pipeline, cifras de ingresos y notas sobre la competencia. Estos datos tienen valor para la competencia y para personas malintencionadas.
3. Historial de comunicaciones. Hilos de correo, notas de reuniones y conversaciones internas que pueden contener información confidencial de la empresa.

Si el proveedor de tu CRM no se toma en serio la seguridad, los datos de tus clientes están en riesgo.

Las funciones de seguridad de un CRM que importan

Cifrado

El cifrado es lo mínimo. Todo CRM debería cifrar los datos en dos niveles:

• En tránsito: cifrado TLS 1.2 o 1.3 para todos los datos que circulan entre tu navegador y los servidores del CRM. Esto impide que los datos se intercepten mientras viajan por internet.
• En reposo: cifrado AES-256 para los datos almacenados en disco. Si alguien obtiene acceso físico al servidor, los datos cifrados son ilegibles sin la clave de cifrado.

Qué preguntar: “¿Qué estándares de cifrado usan para los datos en tránsito y en reposo? ¿Quién gestiona las claves de cifrado?”

Aislamiento entre clientes (multi-tenant)

La mayoría de los CRM modernos son multi-tenant, es decir, varios clientes comparten la misma infraestructura. Es eficiente y rentable, pero crea un requisito crítico: tus datos deben estar completamente aislados de los datos de los demás clientes.

Un buen aislamiento entre clientes incluye:

• Políticas de aislamiento en la base de datos. La propia base de datos impone los límites de los datos en el momento de cada consulta. Las consultas de un cliente físicamente no pueden devolver datos de otro cliente, aunque haya un error en la aplicación.
• Defensa en profundidad. Tanto la capa de la aplicación como la capa de la base de datos imponen el aislamiento. Si una capa falla, la otra lo detecta.
• Claves de API limitadas a cada cliente. El acceso a la API se limita a tu organización. Una clave de API no puede acceder a los datos de otros clientes.

Qué preguntar: “¿Cómo aíslan los datos entre clientes? ¿Imponen el aislamiento en la base de datos además de en la aplicación? ¿Qué pasa si un error de la aplicación se salta el filtrado de la capa de aplicación?”

Autenticación y controles de acceso

Quién puede acceder a qué dentro de tu CRM debe estar estrictamente controlado.

Autenticación multifactor (MFA)

La MFA debe estar disponible para todos los usuarios, y debes poder exigirla. Una contraseña robada no debería bastar por sí sola para entrar en tu CRM. Busca compatibilidad con aplicaciones de autenticación, llaves de acceso (Face ID, Touch ID, Windows Hello o llaves físicas) y códigos de respaldo.

Control de acceso basado en roles (RBAC)

No todos los miembros del equipo necesitan acceso a todo. El RBAC te permite definir roles con permisos específicos:

• Administrador: acceso completo a la configuración, los usuarios y todos los datos
• Gerente de ventas: acceso a los datos del equipo, los informes y la gestión del pipeline
• Vendedor: acceso a sus propios contactos, negocios y actividades
• Solo lectura: acceso de lectura para las partes interesadas que necesitan visibilidad pero no deben editar

Un buen sistema de RBAC es granular. Deberías poder controlar el acceso por módulo (¿este rol puede ver las facturas?), por acción (¿puede editar o únicamente ver?) y por datos (¿puede ver todos los negocios o únicamente los suyos?).

Qué preguntar: “¿Qué roles hay disponibles? ¿Puedo crear roles personalizados? ¿Qué tan granulares son los permisos? ¿Puedo limitar el acceso de ciertos roles a sus propios registros?”

Gestión de sesiones

El CRM debe cerrar automáticamente las sesiones de los usuarios inactivos, permitir que los administradores revoquen sesiones y mostrar las sesiones activas. Si una persona deja la empresa, necesitas cortar su acceso de inmediato.

Registro de auditoría

Cada acción en el CRM debería quedar registrada: quién hizo qué, cuándo y desde dónde. Esto incluye:

• La creación, la actualización y la eliminación de registros
• Los inicios de sesión y los intentos fallidos
• Los cambios de permisos y las asignaciones de roles
• Las exportaciones de datos y las operaciones masivas
• El acceso a la API y la actividad de los webhooks

Un registro de auditoría cumple dos funciones. Primero, disuade las amenazas internas, porque las personas se comportan de otra manera cuando saben que sus acciones quedan registradas. Segundo, permite investigar cuando algo sale mal. Puedes rastrear con exactitud qué pasó y quién fue responsable.

Qué preguntar: “¿Ofrecen un registro de auditoría completo? ¿Cuánto tiempo hacia atrás cubre? ¿Puedo filtrarlo por usuario, tipo de acción o rango de fechas? ¿El propio registro de auditoría está protegido contra la manipulación?”

Copias de seguridad y recuperación de datos

El proveedor de tu CRM debería tener una estrategia de copias de seguridad sólida:

• Copias de seguridad automáticas a intervalos regulares (como mínimo, diarias)
• Recuperación a un punto en el tiempo, para que puedas restaurar los datos a un momento concreto si algo sale mal
• Redundancia geográfica, con las copias guardadas en una ubicación física distinta de la de los servidores principales
• Restauraciones probadas que se verifican con regularidad (una copia de seguridad que nunca se ha probado no es realmente una copia de seguridad)

Qué preguntar: “¿Con qué frecuencia hacen copias de seguridad de los datos? ¿Pueden recuperarlos a un punto en el tiempo? ¿Dónde se guardan las copias? ¿Cuándo probaron una restauración por última vez?”

Cumplimiento normativo y pruebas independientes

Según tu sector y tu ubicación, es posible que tu CRM deba cumplir requisitos normativos específicos. También deberías saber qué pruebas externas respaldan lo que el proveedor afirma sobre su seguridad:

• Pruebas de seguridad independientes: una evaluación externa de la aplicación y de los controles de seguridad del proveedor. Pregunta qué pruebas ha superado el proveedor, cuándo y qué evidencia puede compartir.
• SOC 2 Type II: un informe de auditoría sobre los controles de seguridad de un proveedor a lo largo de un periodo. Algunos compradores, a menudo empresas grandes y sectores regulados, se lo piden a sus proveedores.
• RGPD: si guardas datos de residentes europeos, tu CRM debe permitir la exportación de datos, la eliminación (derecho de supresión) y la gestión del consentimiento.
• HIPAA: si manejas datos de salud, el CRM debe cumplir los requisitos de HIPAA, incluido un acuerdo de socio comercial (BAA) con el proveedor. Confírmalo antes de guardar cualquier información de pacientes.
• CCPA: los requisitos de la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act) para las empresas que atienden a residentes de California.

Qué preguntar: “¿Qué pruebas de seguridad independientes han superado y qué evidencia pueden compartir? ¿Tienen un informe SOC 2 Type II? ¿Cuál es su situación de cumplimiento del RGPD?”

Funciones de seguridad que a menudo se pasan por alto

Validación y saneamiento de las entradas

Un CRM recibe datos de los usuarios todo el tiempo: nombres, direcciones, notas, cuerpos de correo. Cada campo de entrada es un posible vector de ataque de cross-site scripting (XSS) o de inyección SQL. El CRM debería sanear todos los datos que introducen los usuarios antes de guardarlos o mostrarlos.

No es algo que puedas verificar desde una página de marketing. Pero puedes preguntar: “¿Cómo sanean las entradas? ¿Usan consultas parametrizadas? ¿Sanean el contenido HTML antes de mostrarlo?”

Seguridad de la API

Si tu CRM tiene una API (y la mayoría la tiene), debe estar protegida:

• Gestión de claves de API: la posibilidad de crear, rotar y revocar claves de API
• Límites de frecuencia: evitan el abuso y los ataques de fuerza bruta
• Permisos limitados: las claves de API deberían tener los permisos mínimos necesarios
• Registro de solicitudes: todas las llamadas a la API deberían quedar registradas para la auditoría

Seguridad de las integraciones de terceros

Cuando tu CRM se conecta con otras herramientas (correo, calendario, contabilidad, marketing), cada integración crea una posible superficie de ataque. Evalúa lo siguiente:

• ¿El CRM usa OAuth para las integraciones (en lugar de guardar las contraseñas de terceros)?
• ¿Puedes revocar el acceso de una integración sin afectar al resto del CRM?
• ¿El CRM te avisa cuando se conecta una integración nueva?

Controles de exportación de datos

Poder exportar toda tu base de contactos a un CSV es una función y también un riesgo. Busca:

• Exportaciones según permisos: únicamente los usuarios con ciertos roles pueden exportar datos
• Registro de exportaciones: cada exportación queda anotada en el registro de auditoría
• Límites de frecuencia en las exportaciones: evitan la extracción masiva de datos desde cuentas comprometidas

Señales de alerta

Al evaluar la seguridad de un CRM, estas son señales de advertencia:

• Ninguna página de seguridad clara en su sitio web. Si no hablan de seguridad, probablemente no la priorizan.
• “Usamos la nube, así que es seguro”. Alojarse en la nube no es una estrategia de seguridad. Pregunta por controles específicos.
• Ninguna prueba de seguridad independiente. Un proveedor que no puede decir qué pruebas externas ha superado te pide que creas en su palabra sobre su seguridad.
• Autenticación de dos factores únicamente en el plan superior. La autenticación de dos factores es una función de seguridad, no un lujo. Reservarla para el nivel más caro es una señal de alerta.
• Ningún control de acceso basado en roles. Si todos los usuarios tienen el mismo nivel de acceso, una sola cuenta comprometida lo expone todo.
• Ningún registro de auditoría. Sin registros, no tienes visibilidad de lo que pasa dentro de tu CRM.

Cómo elaborar una lista de comprobación de seguridad para tu CRM

Usa esta lista de comprobación al evaluar cualquier CRM:

• Cifrado: TLS 1.3 en tránsito, AES-256 en reposo
• Aislamiento entre clientes: seguridad a nivel de fila (row-level security) en la base de datos
• Autenticación: MFA disponible y exigible
• RBAC: permisos granulares basados en roles, con alcance a nivel de datos
• Registro de auditoría: registro completo de la actividad, con búsqueda y filtros
• Copias de seguridad: copias automáticas diarias con capacidad de restauración probada
• Cumplimiento y pruebas: compatibilidad con el RGPD si guardas datos de residentes europeos. ¿El proveedor ha superado pruebas de seguridad independientes, y tiene el informe SOC 2 o las condiciones HIPAA que exigen tus clientes o tu sector?
• Seguridad de la API: gestión de claves, límites de frecuencia, permisos limitados
• Gestión de sesiones: cierre por inactividad, revocación de sesiones
• Controles de exportación: exportaciones sujetas a permisos, registradas y con límites de frecuencia

La privacidad en la era de la IA

La llegada de la IA a los CRM sumó tres preguntas de privacidad a la lista de diligencia debida en seguridad:

1. ¿El proveedor entrena modelos de IA con tus datos? La respuesta correcta es no, por defecto, en todos los planes. Algunos CRM importantes entrenan por defecto: la configuración de entrenamiento de modelos de IA de HubSpot está activada por defecto, y los términos de Freshworks obtienen una licencia sobre los Datos del Cliente para el entrenamiento de IA, salvo que el cliente decida excluirse. Comprueba la configuración predeterminada, no únicamente la política.
2. ¿Cuánto tiempo se conservan los datos de las llamadas a la IA? La respuesta correcta es que no se conserven en absoluto. El modelo procesa la solicitud, devuelve la respuesta y no guarda nada. Pregunta cuánto tiempo conserva el proveedor los datos de las llamadas a la IA y si los usa para mejorar el producto. Conviene saberlo antes de firmar el acuerdo de tratamiento de datos (DPA).
3. ¿Puedes eliminar o exportar bajo demanda los datos relacionados con la IA? La respuesta correcta es que puedas hacerlo tú mismo, desde tu propia configuración, sin abrir un ticket de soporte. Los perfiles de estilo de redacción, el contenido de correo en caché y el historial de actividad de la IA deberían poder eliminarse sin un proceso de solicitud del interesado (Data Subject Request) de 30 días.

Junto con los controles de seguridad tradicionales (cifrado, MFA, RBAC y registros de auditoría que dejan rastro de cualquier manipulación), estas tres preguntas de la era de la IA delimitan la diligencia debida para un CRM moderno. Las respuestas de Laureo: la IA nunca se entrena con tus datos. Cada solicitud a la IA va únicamente a proveedores que no guardan nada de ella, y el propio Laureo conserva la actividad de la IA que ves en la aplicación, como el historial del chat y de las ejecuciones de los agentes, para que puedas comprobar lo que hizo la IA. Puedes solicitar la exportación y la eliminación de tus datos desde la configuración de tu cuenta. Además, la seguridad de Laureo se prueba y se verifica de forma independiente.

La seguridad no es una función. Es la base.

Un CRM con grandes funciones pero con una seguridad débil es un riesgo. Cuando eliges un CRM, eliges a un socio que guardará los datos más sensibles de tu empresa. Asegúrate de que merezca esa confianza. Haz las preguntas difíciles, revisa las certificaciones, comprueba la configuración de privacidad predeterminada para la IA y elige una plataforma que trate la seguridad como la base, no como algo secundario.