Cómo dar de baja a un empleado sin crear una brecha de seguridad

En resumen: Dar de baja a un empleado es un problema de listas de verificación, no de memoria. Si dependes de que alguien recuerde desactivar una cuenta una semana después de la entrevista de salida, ya tienes una brecha. Crea la lista una vez, úsala cada vez y trata la última hora de trabajo como el evento de seguridad que realmente es.

Lo que necesitas

Antes del último día del empleado, necesitas tener listas estas cosas. No recopilarlas después de que se vaya. Tenerlas listas.

1. Un inventario actualizado de todos los sistemas a los que el empleado tenía acceso (correo electrónico, unidades compartidas, VPN, aplicaciones SaaS, software financiero, acceso al edificio y contraseñas compartidas)
2. Credenciales de administrador para tu proveedor de identidad (Microsoft 365, Google Workspace o la plataforma que uses)
3. Una persona designada que sea responsable de la lista de verificación de principio a fin
4. Una forma de conservar los datos del empleado antes de borrar cualquier cosa (archivo de correo electrónico, transferencia de archivos y contenido de OneDrive/SharePoint)
5. Lista de activos físicos: laptop, teléfono, gafete, llaves y cualquier token de hardware
6. Una copia de las contraseñas compartidas o genéricas que el empleado conocía (todas deben cambiarse)

Si no tienes un inventario de accesos, ese es el verdadero problema, y vale la pena resolverlo antes de tu próxima contratación o terminación, no durante una de ellas. Un proveedor de TI administrada puede crear y mantener esta lista para que nunca tengas que improvisar.

Paso 1: Hazlo en el momento correcto

El mayor error al dar de baja a un empleado es el momento. El acceso debe cortarse en el instante de la terminación, no en algún momento de esa tarde ni «cuando el equipo de TI pueda hacerlo».

1. En las terminaciones involuntarias, el acceso debe desactivarse exactamente a la hora de la reunión, no antes (porque alertarías al empleado) ni después (porque dejarías una ventana abierta)
2. En las renuncias voluntarias con aviso previo, decide caso por caso si el empleado conservará el acceso completo durante ese periodo o si se le asignará acceso restringido de inmediato
3. Si existe algún riesgo de que la salida sea conflictiva, corta el acceso primero y explica después. El riesgo de reputación por actuar rápido no se compara con el riesgo de que un actor malicioso tenga 15 minutos sin supervisión
4. Coordina a Recursos Humanos, la gerencia y el equipo de TI para que los tres actúen dentro de la misma ventana estrecha. La brecha entre la conversación de Recursos Humanos y la acción de TI es exactamente cuando los datos pueden salir por la puerta

Paso 2: Desactiva las cuentas de inmediato, no las elimines

Desactivar y eliminar no son la misma acción, y confundirlas causa problemas más adelante.

1. Desactiva primero la cuenta en tu proveedor de identidad. Esto cancela el acceso de inicio de sesión al instante sin destruir el buzón ni los archivos
2. Fuerza el cierre de sesión de todas las sesiones activas en cada dispositivo y navegador. Una cuenta desactivada con una sesión ya abierta todavía puede utilizarse hasta que expire el token
3. Revoca todas las contraseñas de aplicaciones, claves de API y tokens de OAuth vinculados a esa cuenta
4. Restablece o elimina los métodos de autenticación multifactor registrados para ese empleado, especialmente si usaba un teléfono personal para recibir los códigos de MFA
5. Espera antes de eliminar la cuenta de forma permanente durante un periodo de retención definido (de 30 a 90 días es lo habitual), por si más adelante necesitas recuperar archivos o investigar algo
6. Convierte el buzón en un buzón compartido o archivado si otra persona necesita revisar los correos entrantes durante la transición

Si usas Microsoft 365, toda esta secuencia puede automatizarse para que ocurra en minutos en lugar de tener que hacer clic una vez tras otra bajo presión. Vale la pena configurarlo una sola vez desde tu consola de administración de Microsoft 365 o con ayuda de tu proveedor de TI.

Paso 3: Revisa todas las aplicaciones de terceros

Aquí es donde realmente se producen la mayoría de las brechas. Nadie olvida desactivar la cuenta principal de correo electrónico. Lo que la gente olvida son las doce herramientas SaaS conectadas a ella.

1. Obtén una lista de todas las aplicaciones para las que el empleado tenía un inicio de sesión: CRM, software de contabilidad, gestión de proyectos, almacenamiento en la nube, plataformas de marketing y software específico de la industria
2. Revisa las aplicaciones en las que el empleado inició sesión mediante «Iniciar sesión con Google» o «Iniciar sesión con Microsoft». A menudo son invisibles hasta que auditas la lista de aplicaciones conectadas de tu proveedor de identidad
3. Elimina al empleado de cualquier inicio de sesión compartido (por eso los inicios de sesión compartidos también son una mala idea a largo plazo, pero esa es otra conversación)
4. Cancela o reasigna las licencias de software vinculadas a su nombre para que no pagues por un puesto que nadie utiliza
5. Revisa cualquier automatización o integración que el empleado haya configurado personalmente (reglas de reenvío de correo, conexiones de Zapier e informes programados) que todavía pueda ejecutarse con sus credenciales

Una hora dedicada a crear este inventario de aplicaciones antes de necesitarlo te ahorra improvisaciones cada vez que alguien se va. Esto es una parte estándar de un verdadero programa de ciberseguridad empresarial, no un extra.

Paso 4: Gestiona las contraseñas y credenciales compartidas

Si el empleado alguna vez conoció una contraseña que otras personas todavía usan, esa contraseña está comprometida. Punto.

1. Cambia todas las contraseñas de cuentas compartidas: bandejas de entrada compartidas, cuentas de redes sociales, portales de proveedores y contraseñas de Wi-Fi si no están vinculadas a inicios de sesión individuales
2. Cambia las contraseñas de cualquier cuenta con nivel de administrador a la que el empleado tuviera acceso, aunque no la usara con frecuencia
3. Actualiza tu administrador de contraseñas para eliminar su acceso y cambiar todo lo que pudiera ver
4. Si el empleado tenía acceso físico o remoto a un servidor, firewall o dispositivo de red, cambia también esas credenciales
5. Documenta qué contraseñas se cambiaron y cuándo, para no tener que adivinar seis meses después si algo quedó pendiente

¿Te preocupa que tu empresa esté a un clic de sufrir una brecha? Solicita una revisión de seguridad

Paso 5: Recupera los activos físicos y digitales

El hardware es fácil de rastrear. Los datos que contiene no lo son, así que trata esto como dos tareas separadas.

1. Recoge todo el hardware de la empresa: laptop, monitor, teléfono, tableta, llaves de seguridad, gafetes y llaves
2. Antes de borrar cualquier dispositivo, confirma si contiene datos empresariales que deban conservarse o migrarse (archivos locales, contraseñas guardadas en navegadores y correos electrónicos descargados)
3. Revisa si hay cuentas personales en la nube sincronizadas con el dispositivo (Dropbox personal y Gmail personal) y asegúrate de que los archivos de la empresa no se hayan respaldado en un lugar que no controlas
4. Borra y vuelve a preparar el dispositivo antes de reasignarlo. No te limites a eliminar el perfil del usuario y entregárselo al próximo empleado
5. Si el empleado usaba un dispositivo personal para trabajar (correo electrónico en su teléfono o VPN en su laptop), elimina los datos y el acceso de la empresa mediante la gestión de dispositivos móviles o de forma manual, y confirma que se haya hecho
6. En el caso de empleados de TI o de cualquier persona con acceso elevado, este paso es aún más importante. Una visita rápida a un negocio de reparación de computadoras para borrar correctamente y verificar una máquina devuelta es un seguro económico en comparación con el riesgo de que un dispositivo salga del edificio con datos de la empresa

Paso 6: Revisa la red y el acceso remoto

Las cuentas no son la única puerta. Las redes tienen las suyas.

1. Elimina las credenciales de VPN del empleado y cualquier acceso a escritorios remotos
2. Revisa las reglas del firewall y el software de acceso remoto para detectar configuraciones específicas para esa persona
3. Si el empleado tenía una dirección IP estática autorizada o un dispositivo incluido en la lista blanca, elimínalo
4. Revisa la configuración de tus redes empresariales para detectar dispositivos personales o de invitados que haya conectado y que todavía sigan en tu red
5. Si tenía acceso físico a armarios de red, salas de servidores o equipos locales, cambia las cerraduras físicas o los códigos de acceso relacionados con ese acceso

Paso 7: Confirma que las copias de seguridad no se hayan visto afectadas

Dar de baja a un empleado a veces se cruza de forma problemática con los sistemas de respaldo y recuperación, especialmente si esa persona administraba las copias de seguridad o tenía archivos que solo existían en su máquina.

1. Confirma que los archivos del empleado en OneDrive, SharePoint o de forma local estén respaldados o transferidos antes de desactivar su cuenta
2. Si el empleado administraba tu sistema de copias de seguridad y recuperación ante desastres, transfiere esa responsabilidad y cambia las credenciales vinculadas a ella
3. Comprueba que los trabajos de respaldo sigan ejecutándose correctamente después de los cambios en su cuenta, ya que eliminar una cuenta de usuario a veces puede interrumpir una copia de seguridad programada vinculada a ese inicio de sesión

Paso 8: Documenta y analiza el proceso

La lista de verificación no está completa hasta que queda por escrito.

1. Registra cada cuenta desactivada, cada contraseña cambiada y cada activo devuelto, junto con las fechas y la persona que realizó la acción
2. Anota cualquier cosa inusual: accesos que encontraste y que no deberían haber existido, aplicaciones que nadie conocía o permisos más amplios de lo debido
3. Usa ese análisis para reforzar tu política de accesos, de modo que la próxima baja sea más rápida y ordenada
4. Si algo te pareció incierto durante el proceso, es señal de que debes actualizar tu inventario de accesos o tu lista de verificación antes de la próxima salida

Errores comunes

1. Esperar a que termine la entrevista de salida para comenzar a desactivar el acceso. Cada minuto adicional es una ventana abierta.
2. Olvidar las cuentas compartidas o genéricas porque no están vinculadas a una identidad evidente.
3. Eliminar la cuenta directamente en lugar de desactivarla primero, lo que puede destruir datos necesarios por motivos legales, financieros o de investigación.
4. No revisar los dispositivos personales que todavía tengan el correo de la empresa, acceso a la VPN o archivos sincronizados.
5. Omitir la auditoría de SaaS porque es tediosa. Precisamente ahí es donde los inicios de sesión antiguos permanecen durante meses o años.
6. Tratar los plazos de TI y Recursos Humanos como independientes en lugar de coordinar el momento exacto en que se corta el acceso.
7. Suponer que una salida amistosa implica poco riesgo. La mayoría de las brechas no se deben a la malicia. Se deben a una cuenta que nadie recordó cerrar.

En conclusión

Dar de baja a un empleado no es un paso de cortesía al final de la relación laboral. Es un control de seguridad y debe tratarse con la misma seriedad que la incorporación. Las empresas que sufren incidentes no suelen ser las que despidieron a alguien enojado. Son las que dejaron pasar la lista de verificación porque todo parecía tranquilo. Crea la lista una vez, asigna responsabilidades claras y úsala de la misma manera cada vez, ya sea para una jubilación amistosa o una terminación difícil. Si actualmente no tienes un proceso documentado para dar de baja a empleados o no tienes la seguridad de que todas las cuentas y aplicaciones estén contempladas, vale la pena resolverlo esta semana mediante una revisión de TI empresarial, no después de que ocurra la próxima salida. Si quieres que revisemos tu proceso actual con una segunda opinión, contáctanos y lo analizaremos contigo.

---

¿Te preocupa que tu empresa esté a un clic de sufrir una brecha?

Solicita una revisión de seguridad clara y directa a un equipo local que ha limpiado las consecuencias de estos incidentes más veces de las que quisiera.

Solicita una revisión de seguridad

Preguntas frecuentes

¿Qué tan rápido debe desactivarse el acceso de un empleado después de su terminación?

De inmediato, idealmente dentro de la misma ventana en la que ocurre la conversación de terminación. En las terminaciones involuntarias, el acceso debe cortarse en el momento en que comienza la reunión, con coordinación entre Recursos Humanos y TI para que no haya ninguna brecha entre la conversación y la acción.

¿Debemos eliminar la cuenta de un empleado o simplemente desactivarla?

Primero, desactívala. Eliminarla de inmediato puede destruir el contenido del buzón y los archivos que quizá necesites más adelante por motivos legales, financieros o de investigación. La mayoría de las empresas conserva las cuentas desactivadas durante 30 a 90 días antes de eliminarlas permanentemente.

¿Cuál es el paso que más comúnmente se omite al dar de baja a un empleado?

Las aplicaciones y servicios SaaS de terceros conectados mediante inicio de sesión único. Por lo general, el correo electrónico y el acceso a los archivos se gestionan, pero a menudo se olvidan los inicios de sesión individuales en herramientas de CRM, plataformas de marketing o aplicaciones a las que se accedía con una cuenta empresarial de Google o Microsoft.

¿Tenemos que cambiar las contraseñas compartidas cuando alguien se va?

Sí. Cualquier contraseña que conociera el empleado que se va, ya sea de una bandeja de entrada compartida, una cuenta de redes sociales, la red Wi-Fi o un portal de proveedores, debe considerarse comprometida y cambiarse como parte del proceso de baja.

¿Qué ocurre con los empleados que usaban dispositivos personales para trabajar?

El correo electrónico de la empresa, el acceso a la VPN y los archivos sincronizados deben eliminarse de los teléfonos y laptops personales como parte del proceso de baja. Por lo general, esto requiere herramientas de gestión de dispositivos móviles o una eliminación manual, y debe verificarse, no solo solicitarse.

¿Puede un proveedor de TI administrada encargarse de las bajas por nosotros?

Sí, y es una parte habitual de los servicios de TI administrada. Un proveedor puede mantener el inventario de accesos, automatizar el proceso de desactivación para que sea consistente y asegurarse de que no se omita nada, incluso cuando la salida ocurre con poca anticipación.