La salida de un empleado o contratista debe activar un proceso para retirar accesos y conservar la información que necesita el negocio. Si cada área actúa por separado, puede quedar una aplicación pendiente o perderse un documento necesario para continuar el trabajo.
Para empresas de Venezuela y Latinoamérica con varias sedes, trabajo remoto o proveedores externos, proponemos organizar la baja como una entrega verificable. El objetivo es que cada sistema tenga un responsable y que el cierre pueda comprobarse sin atribuir intenciones a la persona que se retira.
1. Acuerda el momento y el alcance de la baja
Recursos Humanos o el responsable del contrato debe comunicar la salida por el canal interno autorizado. Registra la identidad exacta, fecha y hora acordadas, responsable de coordinación y aplicaciones conocidas.
Como ficha práctica, incluye correo, acceso remoto, aplicaciones empresariales, repositorios de archivos, portales de proveedores y cuentas administrativas. Pregunta también por servicios contratados directamente por el área, que podrían no figurar en el inventario central.
Utiliza ITSM para asignar las tareas a quienes administran cada plataforma. Evita una instrucción general como “eliminar usuario”: cada responsable necesita saber qué acceso retirar, cuándo hacerlo y qué información preservar.
2. Comprueba cuentas y sesiones por separado
Microsoft documenta acciones distintas para impedir nuevos accesos y cerrar sesiones de un antiguo empleado en Microsoft 365. Advierte que su aplicación puede tener demoras y comportamientos diferentes según el servicio. [1]
Por ello, acuerda con TI el procedimiento correspondiente a cada plataforma. No des por concluida la baja únicamente porque se cambió una contraseña o apareció un estado de cuenta bloqueada.
La documentación de Microsoft Entra explica que una aplicación puede emitir su propia sesión y que Entra no puede revocarla directamente. También recomienda contemplar las aplicaciones cuya baja debe realizarse manualmente. [2]
Solicita evidencia del resultado en los sistemas críticos y registra cualquier acceso pendiente. Si una aplicación no permite comprobar el cierre de forma inmediata, deja constancia de esa limitación y asigna seguimiento.
3. Conserva los datos antes de eliminar cuentas
La guía de Microsoft 365 trata por separado la protección del acceso, la conservación del buzón, la entrega de información de OneDrive y la eliminación de cuentas o licencias. [3]
Como aplicación práctica, pide al responsable del área identificar qué documentos, conversaciones de trabajo y entregables deben conservarse y quién los custodiará. Define el alcance de ese acceso; recibir una función laboral no implica necesitar todo el contenido histórico de otra persona.
Revisa también la propiedad de carpetas, formularios, calendarios y otros recursos que utilice el equipo. Comprueba con el nuevo responsable que puede trabajar con ellos desde su propia cuenta. Toda eliminación debe seguir las decisiones de conservación aprobadas para la organización.
4. Recupera los equipos y revisa las copias locales
Prepara un registro de portátiles, teléfonos, dispositivos de autenticación y otros elementos asignados. Documenta su devolución y cualquier equipo pendiente de recuperar.
Microsoft advierte que las acciones de borrado remoto que describe requieren que el dispositivo se conecte a internet; un equipo desconectado puede conservar acceso a datos almacenados localmente. [2]
Por eso, no equipares una orden de borrado enviada con una limpieza confirmada. Antes de borrar un dispositivo, valida que se preservó la información necesaria y que la acción corresponde al equipo autorizado. En dispositivos personales, utiliza el procedimiento corporativo aplicable y confirma qué datos puede gestionar realmente la herramienta.
5. Revisa la información que pudo salir por otros canales
Proofpoint documenta la exfiltración de información sensible mediante correo hacia cuentas no autorizadas, incluidas direcciones personales. Esa vía merece atención dentro de la protección de datos durante una salida. [4]
Como propuesta operativa, revisa con seguridad qué registros y alertas están disponibles sobre envíos, descargas y compartición externa. Ajusta la revisión al alcance autorizado y conserva los hallazgos con acceso restringido.
Si existe un SOC, acuerda qué situaciones requieren investigación y quién recibe el aviso. Una actividad inusual debe contrastarse con el contexto del trabajo; no constituye por sí sola una prueba de conducta indebida. Documenta las conclusiones y los elementos pendientes sin convertir sospechas en hechos.
6. Cierra con evidencia y pendientes visibles
Utiliza una ficha final que indique, para cada sistema, acción realizada, ejecutor, fecha y comprobación. Añade la ubicación de los datos transferidos, los equipos recuperados y las excepciones que todavía necesitan atención.
Propón una revisión posterior entre TI y el responsable del área para detectar aplicaciones olvidadas o problemas de continuidad. Mantén cualquier excepción con un dueño, motivo y fecha de resolución.
Empieza probando el procedimiento con una cuenta ficticia y recursos de laboratorio. Verifica que las tareas lleguen a sus responsables y que el expediente permita comprobar el cierre completo.
Si tu empresa quiere revisar sus procesos de baja y fortalecer la protección de su información, contacta a INSTALINE para conversar sobre sus necesidades.
