Cada colaborador de tu empresa autoriza aplicaciones con su cuenta de Google: Slack, Canva, Notion, un complemento de Sheets, el celular. Esas aplicaciones leen Drive, Gmail o Contactos aunque la persona ya se haya ido. La consola de Google permite listarlas cuenta por cuenta y revocarlas; lo que no hace es mirarlas todas juntas, clasificar el riesgo ni avisar cuando aparece una nueva.
Actualizado el 11 de octubre de 2026 · 7 min de lectura · Mekovault
Cuando alguien entra a una herramienta con “Continuar con Google” o instala un complemento, esa herramienta pide permisos: a veces solo saber quién es (correo y nombre), a veces leer el calendario, a veces leer y escribir todo Drive o todo Gmail. La persona acepta, y desde ese momento la aplicación tiene una llave que sigue funcionando aunque la persona cierre sesión, cambie de computadora o deje la empresa, hasta que alguien la revoca.
En una empresa de 100 personas es normal encontrar entre 300 y 600 autorizaciones activas. La mayoría son inofensivas (entrar a Slack, a Notion, al celular). Unas pocas leen Drive completo o Gmail, y nadie en la empresa decidió que eso estuviera bien.
| Nivel | Qué permiso pidió | Ejemplos | Qué hacer |
|---|---|---|---|
| Bajo | Solo “entrar con Google” (nombre, correo) | Slack, Notion, Canva, Figma, Zoom | Permitir si es una herramienta de la empresa; tolerar si es personal y no toca datos |
| Medio | Calendario, Tareas, Formularios, archivos propios de la app | Calendly, complementos de Sheets, apps de notas | Permitir con responsable; revisar al año |
| Alto | Drive completo, Gmail, Contactos, administración | Asistentes de correo, sincronizadores, scripts, apps desconocidas | Decidir con la jefatura; revocar si no se justifica |
También puedes bloquear una app para toda la empresa desde Seguridad, Controles de API, pero esa decisión la toma un administrador y no deja trazabilidad de por qué.
Mekovault revisa todas las cuentas de la empresa una vez a la semana (sábado de madrugada), guarda el inventario de aplicaciones por colaborador con su nivel de riesgo y después solo registra los cambios. Cuando aparece una app nueva sin política, la jefatura directa recibe un aviso con un plazo de 5 días hábiles para decidir (permitir, tolerar o bloquear); si no decide, hay un recordatorio, un aviso final y la revocación al término del día. Si la persona la vuelve a vincular, se vuelve a quitar y la jefatura se entera. Y al dar de baja una cuenta, todas sus aplicaciones se revocan en el mismo paso, Slack primero. Todo con evidencia. Es la parte “shadow IT” de el offboarding digital, resuelta sin que RH tenga que aprender qué es un token.
El colaborador lo ve en su cuenta, en Seguridad, 'Aplicaciones de terceros con acceso a la cuenta'. El administrador lo ve en la consola, en la ficha de cada usuario, 'Aplicaciones conectadas', y puede revocarlas. No hay una vista de toda la empresa en la consola; hay que recorrer usuario por usuario o usar la API.
Las herramientas que la gente usa para trabajar sin que la empresa las haya aprobado ni sepa que existen. La forma más común hoy es una app autorizada con la cuenta de Google de la empresa. No es mala intención: es gente resolviendo su trabajo. El problema es que nadie decide si esa app puede leer Drive.
El colaborador deja de poder usar esa app con su cuenta de Google hasta que la vuelva a autorizar. Por eso conviene avisar antes, dar un plazo y revocar solo cuando hay una decisión. Si la app es de la empresa (Slack, por ejemplo), se marca como permitida y no se toca.