Cuando un colaborador termina su relación con una empresa, devolver la computadora y desactivar el correo no siempre es suficiente. Durante su trabajo pudo haber recibido acceso a archivos, sistemas, aplicaciones, redes, contraseñas compartidas, cuentas de proveedores y espacios físicos.
Si alguno de esos accesos permanece activo, la organización conserva una puerta abierta que ya no responde a una necesidad laboral. El riesgo no depende solamente de que la salida haya ocurrido en malos términos. Una cuenta olvidada puede ser comprometida meses después, utilizada por otra persona o seguir recibiendo información confidencial sin que la empresa lo note.
Por eso, la salida de un colaborador debe tratarse como un proceso coordinado entre Recursos Humanos, el responsable directo y el equipo de tecnología. El objetivo es retirar el acceso oportunamente, preservar la información de la empresa y permitir que la operación continúe sin depender de la cuenta o del conocimiento de una sola persona.
La baja de accesos es una responsabilidad empresarial
El área de tecnología puede ejecutar muchos de los cambios, pero no debería decidir sola qué debe conservarse, quién asumirá las responsabilidades ni qué información continúa siendo necesaria.
Recursos Humanos confirma la fecha y hora efectiva de salida. El jefe inmediato identifica sistemas, clientes, proyectos y activos relacionados con el puesto. Tecnología desactiva las identidades, revoca sesiones y protege los datos. Cuando existen requisitos contractuales, legales o de conservación, también puede ser necesario involucrar a administración o asesoría legal.
NIST incluye dentro del control de terminación de personal la desactivación del acceso a los sistemas, la revocación de credenciales, la recuperación de activos relacionados con seguridad y la conservación del acceso de la organización a la información que controlaba la persona. Esto demuestra que la baja no consiste únicamente en borrar un usuario: debe cerrar accesos sin perder control sobre los recursos empresariales.
¿Cuándo deben retirarse los accesos?
La fecha y hora deben definirse antes de la salida.
En una salida planificada y voluntaria, la empresa puede coordinar la transferencia de información durante los últimos días y bloquear el acceso al finalizar la jornada o en el momento acordado. En una terminación inmediata o una situación de mayor riesgo, la desactivación debe ejecutarse de forma sincronizada con la comunicación de salida para evitar un periodo en el que la persona todavía tenga acceso después de conocer la decisión.
No conviene depender de mensajes informales enviados a última hora. La solicitud debe indicar, como mínimo:
- Nombre del colaborador.
- Puesto y departamento.
- Fecha y hora exacta de la salida.
- Jefe o responsable que recibirá la información.
- Equipos y activos asignados.
- Sistemas conocidos.
- Necesidades de conservación, transferencia o redirección.
- Nivel de urgencia o riesgo.
1. Identidad corporativa y correo electrónico
La cuenta principal suele ser la llave para muchos otros servicios. Si el colaborador utilizaba Microsoft 365, Google Workspace u otro proveedor de identidad, la empresa debe bloquear el inicio de sesión y cerrar las sesiones activas, no limitarse a cambiar la contraseña.
También debe revisar:
- Correo corporativo.
- Microsoft Teams, Google Chat u otras herramientas internas.
- OneDrive, Google Drive y almacenamiento personal empresarial.
- Calendarios, contactos y reservas.
- Métodos de autenticación multifactor.
- Códigos de recuperación, llaves de seguridad y dispositivos confiables.
- Aplicaciones conectadas mediante inicio de sesión corporativo.
- Reglas de reenvío, delegaciones y accesos concedidos a terceros.
Microsoft recomienda bloquear el acceso, restablecer credenciales y proteger los datos del correo y OneDrive antes de eliminar definitivamente la cuenta. Google permite suspender o archivar una cuenta para impedir el acceso mientras se conserva la información, y ofrece opciones para transferir archivos y otros datos.
Esto conduce a una regla práctica: primero bloquear y preservar; después transferir, archivar o eliminar según la política de la empresa.
2. Aplicaciones y plataformas de trabajo
Las PYMES suelen utilizar múltiples servicios que no están administrados desde una sola consola. El inventario debe incluir todas las aplicaciones utilizadas por el colaborador, aunque se hayan contratado directamente por un departamento.
Entre ellas pueden estar:
- CRM y sistemas de ventas.
- Software contable, facturación y banca empresarial.
- Plataformas de atención al cliente y tickets.
- Sistemas de proyectos y documentación.
- Herramientas de recursos humanos y nómina.
- Sistemas de inventario, producción o logística.
- Portales de proveedores y clientes.
- Plataformas de firma electrónica.
- Redes sociales y herramientas de marketing.
- Dominios, hosting, páginas web y comercio electrónico.
- Repositorios de código y servicios en la nube.
- Aplicaciones de telefonía, videoconferencia y mensajería.
No basta con retirar a la persona de la aplicación. También deben revisarse tokens, claves API, integraciones, sesiones móviles y autorizaciones concedidas a otras herramientas. Una integración creada desde la cuenta del colaborador puede seguir operando o dejar de funcionar inesperadamente cuando la cuenta se desactive.
3. Accesos administrativos y privilegiados
Las cuentas con permisos de administrador requieren atención prioritaria porque pueden crear usuarios, cambiar configuraciones, descargar información o desactivar controles de seguridad.
La empresa debe identificar si el colaborador tenía privilegios en:
- Microsoft 365 o Google Workspace.
- Servidores y servicios en la nube.
- Firewalls, routers, puntos de acceso y VPN.
- Software de respaldo.
- Consolas de seguridad y antivirus.
- Sistemas contables o financieros.
- Dominios, DNS y hosting.
- Páginas web y bases de datos.
- Redes sociales y cuentas publicitarias.
- Plataformas de proveedores.
Antes de retirar estos privilegios, debe confirmarse que existe al menos otro administrador autorizado y que la empresa controla los métodos de recuperación. Ningún servicio crítico debería depender de una cuenta personal, un teléfono privado o una dirección de correo externa del colaborador.
4. VPN, red y acceso remoto
Desactivar el correo no siempre bloquea el acceso a la infraestructura interna. Deben retirarse por separado las credenciales utilizadas para:
- VPN.
- Escritorio remoto.
- Servidores.
- Wi-Fi empresarial.
- Sistemas locales o directorios internos.
- Herramientas de soporte remoto.
- Portales de administración de red.
- Certificados digitales instalados en dispositivos.
También es importante cerrar conexiones activas y revocar certificados o claves asociadas. Si el colaborador conocía una contraseña compartida de Wi-Fi, VPN, router o administrador, la empresa debe cambiarla y actualizarla de forma controlada en los dispositivos autorizados.
5. Contraseñas y cuentas compartidas
Las cuentas compartidas dificultan saber quién accedió, quién hizo un cambio y qué credenciales deben modificarse durante una salida.
Cuando no sea posible eliminarlas de inmediato, la empresa debe:
- Cambiar la contraseña.
- Revocar sesiones existentes.
- Actualizar el método de autenticación multifactor.
- Retirar dispositivos y teléfonos de recuperación.
- Verificar que el correo de recuperación pertenezca a la empresa.
- Revisar quiénes realmente necesitan continuar con acceso.
- Registrar el cambio en un gestor de contraseñas empresarial.
Este proceso puede incluir cuentas de redes sociales, servicios públicos, plataformas de proveedores, equipos de red, sistemas de alarmas o cualquier recurso donde varias personas utilicen la misma credencial.
La mejora recomendada es reemplazar progresivamente las cuentas compartidas por usuarios individuales con permisos según el puesto. Esto facilita las altas, cambios y bajas, y mejora la trazabilidad.
6. Equipos y dispositivos
La empresa debe recuperar y registrar los activos entregados al colaborador:
- Computadora de escritorio o portátil.
- Teléfono y tableta.
- Llaves de seguridad y tokens.
- Discos externos y memorias USB.
- Tarjetas SIM.
- Equipos de red o trabajo remoto.
- Licencias físicas, llaves y accesorios.
El equipo no debería entregarse inmediatamente a otra persona sin una revisión. Tecnología debe proteger la información empresarial necesaria, retirar perfiles y credenciales, comprobar el estado del dispositivo y aplicar un proceso controlado de borrado o reinstalación.
Si se permitió utilizar dispositivos personales, la empresa debe retirar el perfil de trabajo, revocar certificados y sesiones, eliminar la información corporativa mediante las herramientas disponibles y confirmar qué datos pudieron haberse sincronizado localmente. La empresa debe actuar conforme a su política de dispositivos y a las obligaciones legales aplicables, evitando intervenir indiscriminadamente en la información personal.
7. Acceso físico
El proceso también debe cubrir recursos que no son digitales:
- Llaves de oficinas, bodegas y vehículos.
- Tarjetas o códigos de ingreso.
- Credenciales de identificación.
- Acceso a parqueos.
- Códigos de alarma.
- Gabinetes, archivos y cajas de seguridad.
- Listas de acceso de seguridad o recepción.
Si el código es compartido y la persona lo conocía, debe cambiarse. Si se utilizaban registros biométricos, su tratamiento y eliminación deben realizarse conforme a la política interna y las normas aplicables.
8. Información, archivos y propiedad de recursos
Eliminar una cuenta demasiado pronto puede provocar pérdida de correos, archivos, contactos, calendarios, automatizaciones o documentos que pertenecen a la empresa.
Antes de eliminarla se debe determinar:
- Qué archivos deben transferirse.
- Quién será el nuevo propietario.
- Qué correos deben conservarse.
- Quién atenderá comunicaciones pendientes.
- Qué calendarios o reuniones deben reasignarse.
- Qué formularios, flujos o automatizaciones dependen de la cuenta.
- Qué contactos, proyectos y conversaciones deben documentarse.
- Cuánto tiempo debe conservarse la información.
El acceso al correo de un excolaborador no debe quedar abierto indefinidamente ni utilizarse sin control. Debe existir una finalidad empresarial definida, responsables autorizados, un plazo y una política de privacidad y conservación.
9. Clientes, proveedores y canales externos
Algunos accesos no son administrados directamente por la empresa. Un cliente puede haber creado una cuenta para el colaborador, o un proveedor puede reconocerlo como contacto autorizado.
La empresa debe notificar y actualizar:
- Portales de clientes.
- Sistemas de proveedores.
- Contactos autorizados en bancos o servicios financieros.
- Firmantes y aprobadores.
- Distribuidores y socios.
- Grupos de correo externos.
- Canales compartidos con otras organizaciones.
- Listas de emergencia y escalamiento.
También debe sustituirse al colaborador como propietario de relaciones, tickets, proyectos o aprobaciones para que la operación no se detenga.
Eliminar una licencia no equivale a retirar el acceso
Quitar una licencia puede reducir costos, pero no siempre desactiva inmediatamente todas las sesiones ni resuelve la conservación de datos. De la misma manera, cambiar una contraseña puede no cerrar todos los tokens o dispositivos ya autenticados.
El orden correcto suele ser:
- Confirmar la salida y su hora efectiva.
- Bloquear el inicio de sesión.
- Revocar sesiones, tokens y métodos de autenticación.
- Retirar accesos administrativos, remotos y externos.
- Recuperar equipos y activos físicos.
- Preservar y transferir la información empresarial.
- Configurar la continuidad de correo, proyectos y responsabilidades.
- Retirar o reasignar licencias.
- Archivar o eliminar la cuenta conforme a la política de conservación.
- Verificar y documentar que la baja quedó completa.
Una lista genérica no siempre encuentra todos los accesos
El mayor problema suele ser no saber qué utilizaba realmente la persona. Para reducir ese riesgo, la empresa necesita un inventario actualizado de usuarios, aplicaciones, equipos y permisos.
La revisión puede apoyarse en:
- Registros del proveedor de identidad.
- Inicio de sesión único o SSO.
- Gestor de contraseñas empresarial.
- Inventario de dispositivos.
- Facturas y suscripciones.
- Grupos de correo y permisos.
- Registros de VPN y acceso remoto.
- Consolas de administración.
- Información del jefe inmediato.
- Entrevista y lista de entrega del colaborador.
Las pequeñas empresas suelen descubrir durante una salida servicios contratados con tarjetas personales, archivos almacenados en cuentas privadas o contraseñas conocidas por una sola persona. Esas situaciones deben corregirse, no incorporarse como una dependencia del siguiente colaborador.
Proceso recomendado: antes, durante y después
Antes de la salida
- Confirmar fecha, hora y responsables.
- Identificar cuentas, equipos, proyectos y accesos.
- Definir quién recibirá archivos y funciones.
- Proteger información crítica sin alertar innecesariamente ni obstaculizar una transición autorizada.
- Preparar las acciones técnicas para ejecutarlas en el momento correcto.
En el momento de la salida
- Bloquear la identidad principal.
- Revocar sesiones y autenticadores.
- Desactivar VPN y acceso remoto.
- Retirar privilegios y aplicaciones críticas.
- Recuperar equipos, llaves y credenciales físicas.
- Confirmar la recepción con Recursos Humanos y el responsable directo.
Después de la salida
- Transferir información y propiedad de recursos.
- Actualizar clientes, proveedores y responsables.
- Cambiar credenciales compartidas.
- Revisar registros de acceso cuando corresponda.
- Reasignar licencias.
- Archivar o eliminar cuentas según la política.
- Documentar quién ejecutó y verificó cada acción.
Errores frecuentes
Una baja queda incompleta cuando la empresa:
- Solo desactiva el correo.
- Cambia la contraseña, pero no revoca sesiones.
- Elimina la cuenta antes de transferir los datos.
- Olvida accesos a clientes y proveedores.
- No cambia contraseñas compartidas.
- Mantiene cuentas administrativas innecesarias.
- No recupera llaves, tokens o dispositivos.
- Desconoce qué aplicaciones utilizaba la persona.
- Deja archivos empresariales en cuentas personales.
- Retira accesos varios días después.
- No asigna un responsable para verificar el cierre.
- No conserva evidencia del proceso.
Preguntas que la gerencia debería poder responder
- ¿Quién informa oficialmente una salida a tecnología?
- ¿Con cuánto tiempo de anticipación?
- ¿Quién define la hora exacta para bloquear los accesos?
- ¿Existe un inventario de cuentas y equipos por colaborador?
- ¿Qué accesos se retiran automáticamente y cuáles requieren acciones manuales?
- ¿Quién recibe los archivos, correos y proyectos?
- ¿Cómo se gestionan las cuentas compartidas?
- ¿Cuándo se elimina definitivamente una cuenta?
- ¿Quién confirma que la baja quedó completa?
- ¿Qué evidencia conserva la empresa?
Si estas respuestas dependen de recordar aplicaciones una por una o de preguntarle a una sola persona, el proceso todavía presenta riesgo.
Retirar accesos protege la continuidad y la información
Un proceso de salida bien diseñado no parte de la desconfianza. Parte del principio de que cada persona debe conservar acceso solamente mientras existe una necesidad empresarial autorizada.
La empresa debe bloquear la identidad principal, cerrar sesiones, retirar permisos en aplicaciones y redes, cambiar credenciales compartidas, recuperar equipos y accesos físicos, preservar la información y transferir responsabilidades. Después debe verificar que el proceso realmente quedó completo.
Para una PYME, el punto de partida no tiene que ser una plataforma compleja. Puede comenzar con una lista formal, un inventario de accesos, responsables definidos y coordinación entre Recursos Humanos, gerencia y tecnología.
Axentio puede ayudar a su empresa a ordenar este proceso, identificar cuentas y dispositivos, administrar Microsoft 365 o Google Workspace, retirar accesos y establecer una lista de salida adaptada a su operación. El objetivo es que cada cambio de personal ocurra con control, continuidad y protección de la información empresarial.
