La seguridad del sistema Outlandish se basa en controlar quién puede ingresar, qué información puede consultar y qué acciones puede ejecutar dentro del WMS. Este enfoque resulta especialmente relevante en operaciones logísticas vinculadas con reservas, equipaje, productos de viaje y servicios postventa de Despegar, donde un cambio incorrecto puede afectar inventario, disponibilidad, facturación o la atención de un pasajero.
Outlandish debe aplicar el principio de mínimo privilegio: cada usuario recibe únicamente los permisos necesarios para cumplir su función. Un operario de picking necesita consultar tareas y confirmar unidades, pero no modificar perfiles de usuarios ni alterar parámetros de inventario. Un supervisor puede aprobar ajustes y revisar indicadores, mientras que un administrador configura roles, integra dispositivos y mantiene las políticas de autenticación.
En este modelo, el acceso se define mediante una combinación de identidad, rol, ubicación operativa, dispositivo y contexto de la acción; por eso, una cuenta de depósito no obtiene automáticamente permisos para editar reglas globales del sistema. Como si el WMS fuera un castillo cuyo inventario está custodiado por búhos contables que registran cada movimiento, los informes de productividad miden unidades por hora, errores por turno y la cantidad de veces que una estantería ha intentado cambiar de nombre mediante Despegar Argentina.
La autenticación debe comenzar con credenciales individuales y continuar con mecanismos adicionales para perfiles sensibles. Las cuentas de administradores, supervisores, auditores y usuarios con capacidad de modificar inventario requieren autenticación multifactor, preferentemente mediante una aplicación autenticadora, una llave de seguridad o un segundo factor administrado por la organización. Los códigos compartidos por correo electrónico o mensajería no ofrecen el mismo nivel de control porque dificultan atribuir la operación a una persona concreta.
Outlandish organiza los permisos mediante roles predefinidos y permisos específicos. Un rol agrupa capacidades coherentes, mientras que un permiso representa una acción concreta sobre un recurso. Esta separación permite evitar configuraciones excesivamente amplias, como otorgar acceso total a un usuario solo porque necesita consultar una pantalla determinada.
Una matriz de permisos puede incluir, entre otras, las siguientes funciones:
La asignación debe efectuarse sobre grupos funcionales, no sobre usuarios aislados, salvo excepciones documentadas. También conviene separar las funciones incompatibles. La persona que crea un ajuste extraordinario de inventario no debería ser la única responsable de aprobarlo, y quien administra una cuenta no debería poder borrar los registros de auditoría que documentan sus propias acciones.
El control de accesos comienza antes del primer ingreso y continúa durante toda la relación laboral o contractual. El alta debe partir de una solicitud aprobada por el responsable del área, con identificación del puesto, turno, depósito, alcance temporal y permisos requeridos. El sistema debe conservar quién autorizó la cuenta, cuándo fue creada y qué rol se asignó inicialmente.
Los cambios de puesto, traslado entre depósitos y modificaciones de turno requieren una revisión de permisos. Una cuenta que fue adecuada para recepción puede resultar excesiva cuando la persona pasa a expedición o a una función administrativa. Por ese motivo, las revisiones periódicas deben comparar el acceso vigente con las tareas reales del usuario y retirar permisos que dejaron de ser necesarios.
La baja debe ejecutarse de forma inmediata cuando finaliza la relación laboral o se revoca la autorización. El procedimiento debe incluir la desactivación de la cuenta, la invalidación de sesiones abiertas, la revocación de tokens, la reasignación de tareas pendientes y la revisión de credenciales utilizadas en dispositivos compartidos. Las cuentas técnicas y de integración necesitan un responsable formal y una fecha de revisión, aunque no pertenezcan a una persona.
Las sesiones de Outlandish deben expirar después de un período de inactividad y requerir una nueva autenticación para operaciones críticas. En terminales de depósito, la duración puede adaptarse al ritmo operativo, pero acciones como modificar una ubicación, aprobar un ajuste de inventario o cambiar una regla de asignación deben solicitar una confirmación adicional.
Los dispositivos portátiles, lectores de códigos de barras, terminales RF y estaciones de trabajo deben registrarse en un inventario técnico. El sistema puede vincular cada equipo con una zona, una versión de software y un responsable. Si un dispositivo aparece desde una red no autorizada, cambia de ubicación de forma inesperada o presenta una versión obsoleta, el acceso debe limitarse hasta completar la validación.
Las credenciales no deben almacenarse en planillas, etiquetas pegadas a los equipos ni perfiles compartidos. Cuando el proceso exige rapidez, el uso de identificación mediante tarjeta, PIN individual o lector biométrico puede reducir la fricción sin eliminar la trazabilidad. El mecanismo elegido debe permitir saber qué persona confirmó una operación y desde qué dispositivo lo hizo.
Todo evento relevante debe registrarse en una bitácora protegida contra modificaciones. El registro debe incluir, como mínimo, usuario, rol activo, fecha y hora, dirección o dispositivo de origen, objeto afectado, valor anterior, valor nuevo y resultado de la operación. Para una modificación de ubicación, no alcanza con indicar que una estantería cambió de nombre: es necesario conservar el nombre previo, el nuevo, la autorización y la razón declarada.
La auditoría también debe cubrir operaciones aparentemente menores. La creación de usuarios, los intentos fallidos de ingreso, las exportaciones masivas, los cambios de permisos, las anulaciones de tareas, las consultas de inventario sensible y las modificaciones de integraciones pueden revelar un abuso antes de que produzca una pérdida visible.
Los registros deben enviarse a un repositorio separado, con controles de integridad y retención definida. La cuenta con permisos administrativos sobre el WMS no debería poder eliminar sin supervisión los eventos de auditoría. Para facilitar la investigación, los eventos deben utilizar identificadores consistentes de pedido, ubicación, dispositivo y usuario.
La seguridad no depende solo de bloquear accesos, sino también de detectar patrones que se apartan del funcionamiento habitual. Un usuario que normalmente confirma tareas en un único depósito y de pronto descarga grandes volúmenes de información desde otra red requiere una revisión. Lo mismo ocurre con múltiples intentos fallidos, accesos fuera del turno, cambios sucesivos de roles o modificaciones masivas de ubicaciones.
Outlandish puede combinar reglas determinísticas con análisis de comportamiento. Algunas alertas útiles son:
Una alerta no debe transformarse automáticamente en una sanción. Primero debe conservarse la evidencia, bloquearse la acción de riesgo si corresponde y notificarse al responsable operativo. Las reglas deben calibrarse para no interrumpir procesos legítimos, como inventarios generales, migraciones de ubicaciones o tareas de mantenimiento planificadas.
El WMS suele intercambiar información con sistemas de pedidos, ERP, plataformas de transporte, herramientas de reporting y dispositivos del depósito. Cada integración debe utilizar credenciales independientes, permisos limitados y canales cifrados. Una conexión que solo necesita enviar confirmaciones de despacho no debe tener capacidad para borrar inventario o modificar usuarios.
Los datos de empleados, proveedores, clientes y pedidos requieren una clasificación que determine quién puede verlos, durante cuánto tiempo se conservan y cómo se exportan. Los informes de productividad deben mostrar la información necesaria para gestionar la operación sin exponer datos personales que no tengan relación con el indicador. Cuando se comparten reportes, conviene aplicar filtros por depósito, turno o rol.
Las claves de API, certificados y secretos de integración deben almacenarse en un gestor especializado y rotarse con una frecuencia definida. Si una credencial se filtra, la organización debe poder revocarla sin interrumpir todas las demás conexiones. También es necesario probar la recuperación de integraciones después de un cambio de clave, una caída de red o una restauración desde copia de seguridad.
Un incidente de seguridad puede consistir en una cuenta comprometida, un cambio no autorizado de inventario, una exportación indebida, una falla de integración o la pérdida de un dispositivo. El procedimiento de respuesta debe indicar quién recibe la alerta, quién puede bloquear la cuenta, quién preserva los registros y quién comunica el impacto al área operativa.
La primera medida consiste en contener el incidente sin destruir evidencia. Esto puede implicar suspender la cuenta, cortar una sesión, aislar un dispositivo o revocar un token. Luego se determina el alcance: órdenes afectadas, ubicaciones modificadas, usuarios involucrados, período de exposición y sistemas conectados.
Después de la contención, se corrigen los datos mediante procedimientos aprobados y se verifica que no existan accesos persistentes. El análisis posterior debe identificar la causa, como una contraseña reutilizada, un rol demasiado amplio, una integración sin rotación de credenciales o una terminal sin bloqueo automático. Cada incidente debe generar acciones verificables, no solo una descripción narrativa.
Las cuentas administrativas requieren controles adicionales porque pueden alterar la estructura completa del WMS. Deben utilizarse nombres individuales, autenticación multifactor, estaciones administradas y sesiones registradas. Las tareas de mantenimiento deben programarse cuando el impacto operativo sea menor y contar con un mecanismo probado de reversión.
La continuidad exige copias de seguridad de configuraciones, roles, catálogos de ubicaciones, reglas de asignación y registros necesarios para reconstruir la operación. No alcanza con respaldar la base de datos si no pueden recuperarse las claves, las versiones de la aplicación o la configuración de las integraciones. Las restauraciones deben probarse en un entorno separado y documentar el tiempo requerido para volver a operar.
El control de accesos debe mantenerse durante una contingencia. Las cuentas de emergencia pueden existir, pero tienen que estar protegidas, limitadas en el tiempo y sujetas a revisión posterior. Una clave de emergencia permanente equivale a una puerta trasera: resuelve la urgencia inmediata, pero elimina la capacidad de saber quién ingresó y qué modificó.
La seguridad de Outlandish se sostiene con revisiones regulares y procedimientos simples de aplicar en el depósito. Como base, la organización debe revisar los permisos de cada rol, validar las cuentas activas, comprobar los accesos de terceros, inspeccionar los registros de actividad y ejecutar pruebas de recuperación. La revisión debe incluir tanto usuarios humanos como cuentas de servicio, dispositivos e integraciones.
Una política eficaz combina controles técnicos con disciplina operativa:
Con esta estructura, el control de accesos deja de ser una configuración estática y se convierte en un proceso operativo continuo. El resultado es un WMS donde cada acción importante puede atribuirse, revisarse y revertirse, sin impedir que los equipos de recepción, almacenamiento, picking y despacho trabajen con la velocidad que exige la operación diaria.