Baja de un empleado: cómo retirar accesos sin perder información ni dejar cuentas huérfanas

Empieza por una fuente fiable y una hora efectiva

RR. HH. o la persona autorizada debe registrar la salida, la fecha y la hora a la que cambian los permisos. Esa señal activa tareas para dirección, responsable del área, administración y TI. Una automatización no debería interpretar una conversación o un calendario informal como orden de baja.

Una salida planificada, un cambio de rol y una terminación inmediata requieren secuencias distintas. El enfoque de altas, cambios y bajas trata el acceso como ciclo de vida. El National Cyber Security Centre recomienda una política que permita revocar o adaptar permisos cuando dejan de ser necesarios.

Crea el inventario por identidad, no por memoria

• Identidad corporativa, correo, SSO, VPN y aplicaciones principales.
• CRM, ERP, facturación, soporte y proyectos.
• Código, hosting, dominios, analítica, publicidad y redes sociales.
• Almacenamiento, documentos, calendarios y recursos compartidos.
• Banca, pagos, proveedores y contratos.
• Equipos, llaves, tarjetas y autenticadores.
• Claves API, tokens, bots, integraciones y cuentas de servicio.
• Accesos concedidos por clientes o socios externos.

SSO permite revocar varios servicios desde una identidad, pero no localiza cuentas creadas al margen. El inventario debe incluir propietario, administrador, método de acceso y última revisión. Una checklist del último día resulta insuficiente si nadie mantiene ese inventario vivo ni comprueba las dependencias después del bloqueo.

Separa retirada de acceso y conservación del trabajo

La guía de Microsoft para retirar a un antiguo empleado separa bloqueo de inicio de sesión, cierre de sesiones y decisiones sobre correo, archivos y otros contenidos. El equipo puede recibir acceso legítimo al trabajo sin compartir la contraseña ni mantener activa la identidad anterior.

No borres automáticamente datos al desactivar una cuenta. Conservación, acceso posterior y eliminación requieren política empresarial y, cuando proceda, criterio jurídico o laboral. Este artículo describe el diseño operativo, no determina plazos legales.

Usa un orden verificable el día de la baja

1. Confirma orden, hora efectiva y persona coordinadora.
2. Bloquea identidad principal y revoca sesiones activas.
3. Retira grupos, privilegios, VPN y acceso físico.
4. Revisa aplicaciones fuera del directorio central.
5. Revoca tokens, claves personales y secretos compartidos afectados.
6. Reasigna documentos, buzones, tareas, aprobaciones y activos.
7. Recupera o gestiona dispositivos según la política.
8. Comprueba con cuentas de prueba y registros del proveedor.
9. Documenta excepciones, propietario y fecha de cierre.

Microsoft Entra describe la automatización del ciclo de vida desde una fuente de RR. HH. y la desasignación de aplicaciones. Automatizar aporta consistencia, pero cada conector debe confirmar el resultado: que un flujo termine sin error no prueba que un proveedor externo haya revocado la sesión.

Prueba dependencias invisibles y cierra con evidencia

Después del bloqueo, prueba procesos críticos. Un formulario puede dejar de enviar porque usaba el buzón de esa persona; un despliegue puede depender del único propietario; un cliente puede seguir escribiendo a una bandeja sin responsable. Revisa administradores únicos, dominios, cuentas de desarrollador, OAuth y secretos guardados en automatizaciones.

Empieza con una baja de prueba sobre una cuenta ficticia. Si el proceso cruza muchas herramientas, NAS Solutions puede diseñar una automatización basada en reglas, conectores y confirmaciones. La IA no es necesaria para ejecutar una orden de acceso. Para ordenar el alcance, revisa qué proceso automatizar primero.

Mantén el proceso preparado antes de la siguiente baja

El offboarding falla a menudo por información que debía existir antes de la salida. Revisa periódicamente aplicaciones con usuarios activos, administradores únicos, integraciones bajo cuentas personales y activos sin segundo responsable. Compara el directorio corporativo con listados de proveedores críticos y registra las diferencias: una cuenta que no aparece en SSO no debe quedar invisible para siempre.

Define además qué evidencia puede conservarse y quién puede verla. Una captura con datos innecesarios o una contraseña pegada en el ticket crea otro riesgo. El cierre útil muestra hora, acción, resultado, sistema y responsable mediante identificadores suficientes, junto con las excepciones pendientes y su fecha de revisión.