Baja de empleados: cómo retirar accesos sin perder archivos ni pendientes

Cuando una persona deja la empresa, sus pendientes y sus accesos necesitan un cierre coordinado. Puede tener correo, carpetas, aplicaciones administrativas, sesiones abiertas y una computadora con archivos locales. Si nadie reúne ese mapa, retirar una cuenta puede dejar información sin responsable; mantenerla activa por comodidad puede prolongar accesos que ya no corresponden.

Esta guía propone un procedimiento para dueños, administración y responsables de TI de una pyme. El objetivo es documentar quién autoriza la baja, qué acceso se retira, quién recibe el trabajo y cómo se verifica el resultado. Los ejemplos de Microsoft 365 son referencias concretas: cada aplicación y cada entorno requieren su propia revisión.

Define quién autoriza y cuándo se ejecuta

Antes de tocar cuentas, confirma la instrucción con la persona autorizada por la empresa. Registra la identidad del usuario, la fecha y hora efectiva de salida, el responsable de ejecutar la baja y la persona que verificará el cierre. Coordina estos datos con administración o recursos humanos para evitar una actuación anticipada o tardía.

Separa las decisiones del negocio de las tareas técnicas. El responsable del área decide quién continúa los pendientes y qué información necesita. TI determina cómo retirar accesos y conservar el material autorizado. Si hay obligaciones de conservación, una investigación o dudas sobre datos personales, consulta al responsable correspondiente antes de borrar o entregar información.

Haz un mapa de cuentas y recursos

Revisa el correo empresarial, el acceso remoto, las carpetas compartidas, las aplicaciones administrativas y los portales de proveedores. Incluye dispositivos asignados, llaves físicas de acceso y servicios cuya recuperación dependa del teléfono o correo de la persona. Pregunta también qué herramientas utiliza que no aparezcan en el inventario.

Para cada recurso anota cuenta, nivel de permiso, administrador, acción prevista y nuevo responsable. Evita poner contraseñas en esta lista. La guía de NIST para pequeñas empresas propone conocer los activos y asignar responsabilidades como parte de la gestión del riesgo. Aquí lo convertimos en un registro de trabajo que la empresa puede mantener después de cada alta, cambio de puesto o baja. [1]

Retira el acceso y comprueba las sesiones

La acción necesaria depende del servicio. Cambiar una contraseña, bloquear un inicio de sesión y revocar sesiones son controles distintos. En Microsoft 365, la documentación contempla restablecer la contraseña, cerrar sesiones y bloquear el acceso. También advierte que algunos cambios pueden tardar en reflejarse; no debe darse por hecho que pulsar un botón termina inmediatamente toda sesión. [2]

El administrador debe comprobar la cuenta correcta y revisar el resultado en los sistemas autorizados. Si hay un directorio local sincronizado con la nube, la gestión de usuarios necesita considerar ese origen de identidad. Una baja hecha solo en una aplicación puede dejar otros accesos pendientes. Microsoft señala esta particularidad para entornos con Active Directory. [3]

Incluye los permisos en herramientas que tengan administración independiente. Cuando existan credenciales compartidas, identifica a qué servicios corresponden y acuerda su sustitución sin cortar procesos que dependan de ellas. La salida también permite detectar dónde conviene pasar a cuentas individuales con permisos claros.

Conserva archivos y asigna los pendientes

Decide qué información de trabajo necesita conservarse y quién está autorizado a verla. No entregues todo el contenido a otra persona por costumbre. Organiza la transferencia por procesos: expedientes activos, cotizaciones, documentos en revisión y tareas con una fecha próxima. Pide a quien recibe que confirme que puede abrir el material necesario.

En Microsoft 365, la guía de salida distingue entre bloquear acceso, preservar información, dar acceso autorizado a contenido de OneDrive y Outlook, y retirar licencias o eliminar cuentas. El orden importa porque la eliminación y los cambios de licencia pueden afectar la disponibilidad de la información. Revisa las condiciones vigentes del servicio antes de ejecutar esos pasos. [3]

Un registro útil puede tener cinco campos: pendiente, ubicación del archivo, siguiente acción, fecha y responsable que lo acepta. Este pequeño traspaso ayuda a que la entrega sea comprobable. Un respaldo forma parte de la protección de los datos, pero no asigna por sí mismo quién debe continuar una cotización o responder a un cliente.

Revisa el correo y los canales de atención

Define qué debe pasar con los nuevos mensajes dirigidos a la persona. Según el servicio y las necesidades del negocio, puede corresponder una respuesta automática, delegación autorizada o un buzón compartido. Evita que la continuidad dependa de que alguien siga entrando con la identidad del exempleado.

Microsoft explica que un buzón compartido no está pensado para iniciar sesión directamente con su cuenta asociada y recomienda mantener ese inicio de sesión bloqueado. La utilización y las licencias deben revisarse para el caso concreto. Organiza además quién atiende las conversaciones y cómo se señala que una solicitud ya tiene responsable. [4]

Recupera el equipo sin borrar antes de tiempo

Registra la devolución de computadora, cargador y otros dispositivos de la empresa. Revisa si contienen información de trabajo que deba transferirse por un canal autorizado. Si el dispositivo es personal, cualquier actuación debe ajustarse a la política y autorización aplicables; no trates el equipo personal como si fuera propiedad de la empresa.

La reutilización o retiro de una computadora requiere decidir qué datos deben conservarse y cómo se eliminará lo restante. NIST dispone de una guía de sanitización de medios para elegir procedimientos según el soporte y la sensibilidad de la información. Formatear o borrar archivos no es una respuesta universal para todos los dispositivos. [5]

Cierra la baja con evidencia

Usa una lista breve que pueda revisar otra persona: accesos retirados, sesiones tratadas, permisos revisados, archivos asignados, correo encaminado, equipo recuperado y excepciones registradas. Para cada punto, guarda fecha, responsable y evidencia suficiente, sin copiar secretos o información innecesaria. Si algo queda abierto, indica quién lo resolverá y cuándo se revisará.

Por ejemplo, si una aplicación depende todavía de una cuenta personal, describe el problema y acuerda una corrección con su administrador. No marques toda la baja como resuelta mientras esa dependencia siga sin aclararse. El registro debe reflejar lo que realmente se comprobó, incluidos los límites de acceso o verificación.

Convierte el cierre en un proceso repetible

Después de la baja, revisa qué faltó en el inventario y qué recursos dependían de una sola persona. Usa esos hallazgos para mejorar las próximas incorporaciones y cambios de puesto. Un procedimiento sencillo, con responsables y comprobaciones, resulta más fácil de sostener que una lista larga que nadie actualiza.

Si tu empresa necesita ordenar las altas, bajas y responsabilidades junto con su infraestructura, conversa con Myndaros sobre tu forma actual de trabajo y evalúa si Myndaros Enterprise encaja. El alcance y las condiciones deben definirse a partir de tus sistemas, usuarios y necesidades reales.