Cuando una persona deja una empresa, eliminar su correo no siempre cierra todos sus accesos. Puede conservar sesiones abiertas, permisos en herramientas externas, claves compartidas, dispositivos, cuentas de WordPress o enlaces a documentos.
El proceso de baja, también llamado offboarding, debe coordinar a dirección, recursos humanos y soporte técnico. Su finalidad no es desconfiar de todo el mundo, sino retirar privilegios que ya no son necesarios y proteger tanto a la empresa como a la persona que se marcha.
Empieza con un inventario de accesos
No puede retirarse lo que nadie recuerda. La organización debería mantener una relación de aplicaciones, sistemas, cuentas, grupos y activos asignados a cada función.
- Correo y suite ofimática.
- VPN, escritorio remoto y red interna.
- CRM, facturación, almacenamiento y herramientas de proyectos.
- WordPress, hosting, dominio, DNS y CDN.
- Redes sociales, publicidad, analítica y Perfil de Empresa.
- Repositorios, paneles cloud, claves API y automatizaciones.
- Dispositivos, tarjetas, llaves y códigos físicos.
Las cuentas individuales facilitan la trazabilidad. Cuando todo el equipo utiliza el mismo usuario, no es posible retirar a una persona sin cambiar las credenciales para todos.
Define el momento de revocación
El responsable correspondiente debe comunicar al equipo técnico la fecha y hora efectivas. Según el riesgo y las circunstancias, la revocación puede coincidir con el final de la relación o ejecutarse de forma inmediata.
No conviene improvisar por mensajes dispersos. Una solicitud de baja debería identificar a la persona, sistemas afectados, responsable que autoriza y tratamiento previsto de sus archivos y comunicaciones.
Desactiva cuentas y revoca sesiones
Cambiar una contraseña no siempre cierra las sesiones ya iniciadas. Cuando la plataforma lo permita, deben revocarse tokens, sesiones activas, contraseñas de aplicación y dispositivos confiables.
También hay que retirar a la persona de grupos, listas, canales, bóvedas de contraseñas, calendarios y carpetas compartidas. Desactivar primero y eliminar después de acuerdo con la política de conservación suele permitir investigar errores sin mantener el acceso activo.
Trata las credenciales compartidas como una deuda
Si la persona conocía contraseñas comunes, estas deben cambiarse. El objetivo posterior debería ser sustituirlas por cuentas nominales o un gestor que permita conceder y retirar acceso sin revelar la clave.
Las claves API, secretos de integración y credenciales técnicas también cuentan. Una automatización puede seguir funcionando con una clave copiada fuera de la empresa aunque se haya cerrado el correo.
Recupera los activos
Portátiles, móviles, llaves de seguridad, tarjetas, unidades USB y documentación deben figurar en un registro de entrega y devolución. Antes de reasignar un equipo conviene preservar la información empresarial necesaria y aplicar un borrado o reinstalación controlados.
Si existe gestión remota, debe comprobarse que el dispositivo sigue inventariado y que puede bloquearse en caso de no devolución. La empresa también debe retirar perfiles corporativos de dispositivos personales cuando ese modelo esté autorizado.
Transfiere la información sin invadir la privacidad
Los documentos de trabajo deben pasar al responsable definido. El correo puede conservarse o redirigirse durante un periodo según las necesidades, políticas y asesoramiento aplicable, evitando accesos indiscriminados a comunicaciones personales.
La parte técnica debe aplicar la decisión autorizada; las cuestiones laborales y de protección de datos requieren el criterio profesional correspondiente.
No olvides a proveedores y colaboradores
Un diseñador externo, una agencia o un técnico temporal puede haber recibido permisos elevados. El fin del proyecto debería activar la misma revisión: retirar usuarios, revocar claves, cambiar secretos compartidos y confirmar la entrega de archivos.
Comprueba que la baja está completa
Una segunda persona debería validar el cierre mediante una lista de comprobación. Además de verificar que la cuenta no inicia sesión, conviene revisar alertas posteriores y detectar intentos de acceso inesperados.
Conserva evidencias del proceso
El registro puede incluir quién solicitó la baja, quién la ejecutó, cuándo se revocó cada acceso y qué activos fueron devueltos. Esto ayuda a demostrar que el procedimiento se siguió y a corregir carencias.
Conclusión
Una baja segura empieza mucho antes del último día: cuentas individuales, inventario de activos y permisos limitados hacen que retirar accesos sea una operación controlada.
