seguridad en la baja de empleados

Esta guía de seguridad en la baja de empleados te ayuda a tomar decisiones claras, reducir riesgo real y aplicar controles medibles en 2026.

El proceso de baja segura es un momento crítico para la seguridad. Un ex-empleado con acceso a sistemas representa un riesgo significativo.

Por Qué Es Importante

Estadísticas

20% de organizaciones han experimentado brechas por ex-empleados
45% de empleados admiten llevarse datos al irse
1 de 3 ex-empleados conserva acceso a sistemas después de irse

Riesgos Principales

Robo de datos de clientes
Acceso a propiedad intelectual
Sabotaje de sistemas
Venta de información a competidores

Lista de comprobación Día de Salida

Accesos Digitales ✓

Deshabilitar cuenta de correo electrónico corporativo
Revocar acceso a Active Directory/SSO
Desactivar VPN
Revocar tokens de autenticación
Cerrar sesiones activas en todos los sistemas

Aplicaciones Nube ✓

Google Workspace / Microsoft 365
Slack / Teams
CRM (Salesforce, HubSpot)
Herramientas de gestión (Jira, Trello)
Almacenamiento (Dropbox, Drive, OneDrive)
Otros SaaS específicos de la empresa

Infraestructura ✓

Acceso SSH / Claves
Consolas nube (AWS, Azure, GCP)
Paneles de administración
Bases de datos
Sistemas de monitoreo

Dispositivos ✓

Recuperar laptop/ordenador
Recuperar teléfono móvil corporativo
Recuperar tokens de hardware (YubiKey)
Recuperar tarjetas de acceso físico
Verificar borrado de datos personales

Contraseñas Compartidas ✓

Cambiar contraseñas de cuentas compartidas
Rotar credenciales de servicio
Actualizar secretos en gestores de contraseñas
Cambiar WiFi si tenía acceso

Financiero ✓

Revocar tarjetas corporativas
Remover como firmante autorizado
Actualizar acceso a cuentas bancarias
Revocar autorización de gastos

Por Departamento

TI/Desarrollo

Acceso a repositorios de código
Variables de entorno / secretos
Claves API
Certificados
Acceso a producción

Ventas/Marketing

CRM con datos de clientes
Listas de contactos
Campañas de marketing
Redes sociales empresariales

Finanzas

Sistemas contables
Información bancaria
Datos de nómina
Reportes financieros

Recursos Humanos

Datos de empleados
Sistemas de nómina
Información confidencial

Proceso Recomendado

Antes del Último Día

Notificar a TI con anticipación
Inventariar accesos del empleado
Identificar cuentas compartidas
Programar recuperación de dispositivos

Día de Salida

Reunión de entrega
Recuperación de dispositivos
Revocación de accesos (preferiblemente simultáneo)
Entrevista de salida (opcional)

Después de la Salida

Verificar que accesos fueron revocados
Monitorear intentos de acceso
Revisar registros de actividad reciente
Actualizar listas de contactos

Cronología con cuenta atrás: T-14, día cero y el barrido de 30 días

Una baja funciona como proyecto con plazos, no como reacción del último día. Estas fases complementan la lista de comprobación anterior con el orden real de ejecución y con todo lo que suele quedar fuera del día de salida.

T-14 a T-7 días (baja voluntaria)

Con el aviso de dimisión en la mano, RRHH abre un expediente con la fecha efectiva de salida y lo notifica a TI por un canal que deje registro. El responsable directo identifica qué documentación, proyectos y conversaciones se traspasan y a quién. Es el momento de exportar la lista de accesos desde el proveedor de identidad y de revisar el extracto de la tarjeta corporativa para localizar suscripciones que no pasan por el SSO.

T-1 día

TI deja preparada la secuencia de revocación y el gestor de contraseñas lista las rotaciones que se ejecutarán al día siguiente. Se redacta la hoja de traspaso y se retira del teléfono del empleado todo acceso que no necesite para su último día de trabajo.

Día cero

Las revocaciones se ejecutan por la mañana, no al cierre: una cuenta desactivada a las 10:00 deja la entrevista de salida tranquila y recorta la ventana de riesgo de toda la jornada. No se elimina la cuenta: se desactiva y se marca para retención según la política de conservación, porque el buzón y los archivos son propiedad de la empresa.

Día siguiente

La verificación se hace con evidencia, no con memoria: un intento de autenticación en entorno controlado con las credenciales antiguas, revisión de los intentos fallidos en los registros del SSO y de la VPN, y confirmación de que las sesiones móviles y de escritorio del correo caducaron de verdad y no solo en teoría.

Barrido a los 30 días

Segundo pase para lo que escapa al primer corte: licencias huérfanas, buzones de los que la persona era propietaria o administradora, cuentas de invitado en Teams o en Google Workspace y suscripciones pagadas con tarjeta corporativa. Este reinventario detecta casi siempre dos o tres accesos que se habían pasado por alto.

Quién hace qué: reparto entre RRHH, TI y el responsable directo

Las bajas fallan por huecos de propiedad: cada parte asume que otra ejecutó el paso. La matriz se fija por escrito antes de que toque aplicarla.

RRHH

Abre y cierra el expediente, comunica la fecha y el tipo de salida, custodia la hoja de entrega firmada y decide, con asesoría jurídica, qué se comunica y cuándo. Verifica también que el acuse de recibo de la política de confidencialidad y el compromiso de no divulgación están firmados y archivados.

TI

Ejecuta revocaciones, desinscribe dispositivos del MDM, rota credenciales compartidas y produce el registro con marca de tiempo de cada acción. Un solo coordinador de identidad responde por caso; las peticiones de excepción de última hora entran por escrito y se aprueban o deniegan con criterio, no con prisa.

Responsable directo

Decide el traspaso de contenido y contactos, acompaña la entrega de material y firma la hoja de bienes devueltos. No gestiona accesos: si cree que alguien los necesita todavía, lo solicita por escrito y TI resuelve.

Inventario de licencias y SaaS: método de tres fuentes

Exporta los usuarios del proveedor de identidad: cubre toda aplicación federada.
Cruza con el extracto de las tarjetas corporativas: allí aparecen las herramientas compradas sin pasar por TI.
Muestrea por departamento con un formulario breve: qué herramientas usan a diario y quién las administra.

Para cada aplicación anota tres datos antes de cortar el acceso: quién es el propietario funcional, si la licencia es reasignable o cancelable y si hay datos que deban exportarse primero. Las licencias reasignables se mueven al sucesor el mismo día; las cancelables se agrupan para renegociarlas en la renovación anual, el único momento en que muchos proveedores aceptan reducirlas sin penalización.

Buzones compartidos, cuentas genéricas y cuentas de servicio

Buzones compartidos: traspasa la propiedad a una cuenta de rol antes de dar de baja a la persona y retírala como miembro. Revisa después las reglas de reenvío que el usuario pudiera haber creado hacia dominios externos: son una de las vías de salida de información más discretas y pueden sobrevivir a la desactivación de la cuenta.
Cuentas genéricas (info@, administrador@): cambia la contraseña y los códigos de acceso que la persona conociera, incluido el segundo factor si sus sesiones quedaron registradas en el teléfono devuelto.
Cuentas de servicio: rota los secretos en el gestor y redespliega las credenciales, comprobando luego que las integraciones siguen operativas. Si no consta dónde guardaba las claves, asume compromiso y rota también lo que no estaba documentado.

Devolución de equipos en plantilla remota: logística registrada

En trabajo a distancia, la devolución es un problema logístico antes que técnico. Acuérdate en la propia entrevista de salida: caja y embalaje, periféricos y tokens listados uno a uno y firmados en una hoja de entrega con fecha. Envía una etiqueta de recogida prepagada de un servicio con prueba de entrega y seguro de valor; en España es habitual la recogida a domicilio con acuse de recibo digital, que sirve de prueba si el material no llega o si se discute su estado. Fija un plazo razonable de siete a diez días naturales, guarda el acuse junto a la hoja de entrega y deja la reclamación del equipo no devuelto en manos de RRHH con asesoría jurídica, nunca en un mensaje suelto de TI.

Antes de reasignar el equipo a otra persona quedan tres pasos: borrado remoto confirmado desde la consola MDM, liberación del bloqueo de activación en Apple Business Manager y baja del registro de Windows Autopilot.

Rastro de evidencia para RRHH y asesoría jurídica

Si meses después surge una disputa laboral o unos datos aparecen en manos de un competidor, la posición de la empresa la sostiene un expediente con marca de tiempo, no una reconstrucción de memoria:

Solicitud de baja con fecha, tipo de salida y aprobaciones.
Registro de revocaciones del proveedor de identidad exportado en formato legible, no capturas de pantalla.
Hoja de entrega firmada y acuse de recibo del envío del material.
Registros de autenticación posteriores: los intentos quedaron registrados y no se concedió ningún acceso.

Conserva el expediente el plazo que determine la asesoría jurídica, con especial atención a los plazos de reclamación laboral: los registros técnicos suelen rotarse antes de lo que dura un conflicto, así que se exportan antes de que caduquen.

Baja de terceros: contratistas y cuentas de invitado

Un contratista se da de baja con la misma lista de comprobación que la plantilla, con dos diferencias: la fecha la fija el contrato, no la persona, y su organización puede tener acceso propio a tus sistemas mediante federaciones corporativas o invitaciones de invitado en Microsoft 365 y Google Workspace. Lo razonable es exigir en el alta un patrocinador interno y una fecha de caducidad obligatoria; al cierre del proyecto, el patrocinador confirma la terminación y TI revoca VPN, certificados, repositorios y consolas. Termina barriendo las cuentas de invitado: sobreviven al contrato con demasiada facilidad y hay que eliminarlas de forma explícita, porque la caducidad automática no siempre está activada.

MDM: desinscripción y verificación posterior

Dar de baja un portátil o un móvil en la plataforma MDM (Intune, Jamf, VMware Workspace ONE) no se limita a eliminar el registro:

Retira el dispositivo del programa de inscripción automática (Apple Business Manager, Windows Autopilot); de lo contrario se volverá a inscribir al encenderlo.
Libera el bloqueo de activación y el vínculo de propiedad en el proveedor del sistema operativo.
Confirma el borrado remoto en la consola y anota la fecha del resultado.

A las 72 horas se comprueba que el equipo no reaparece inscrito ni recibe perfiles. Un dispositivo que se vuelve a inscribir significa que alguna credencial del empleado sobrevivió al corte, y hay que localizarla antes de cerrar el caso.

Automatización

Herramientas que Ayudan

IAM/SSO: Okta, Azure AD, OneLogin
ITSM: ServiceNow, Jira Service Management
Gestión de SaaS: Productiv, Zylo
Baja segura: Rippling, BambooHR

Beneficios de Automatizar

Menos errores humanos
Proceso más rápido
Trail de auditoría completo
Consistencia entre casos

Casos Especiales

Despido Involuntario

Revocar accesos antes de notificar
Supervisión durante última hora
No permitir acceso a dispositivos después
Preparar antes de la reunión: credenciales de reemplazo en el gestor de contraseñas, rotaciones ensayadas con los dueños de cada cuenta y un lugar confirmado para ejecutar el corte en los minutos posteriores.
Hacer la reunión a primera hora de la jornada: la ventana sin revocar se reduce a minutos y el empleado no pasa la tarde con acceso activo.

Empleado de Alto Riesgo

Revocar accesos inmediatamente
Revisar actividad reciente
Monitorear intentos post-salida
Considerar revisión forense

Trabajo Remoto

Verificar borrado remoto de dispositivos
Recuperar equipos por mensajería
Confirmar destrucción de datos físicos (si aplica)

Conclusión

Un proceso de baja segura sólido protege a la organización de riesgos significativos. Implemente una lista de comprobación formal y automatice donde sea posible.

¿Necesita ayuda evaluando su proceso de baja segura? Contacte a Cyberlord para auditorías de seguridad de procesos de gestión de identidades.

seguridad en la baja de empleados: puntos clave

La prioridad en seguridad en la baja de empleados es traducir análisis en acciones verificables.

También te puede interesar: 10 señales de que una empresa está comprometida y riesgos de la IA en la sombra en el trabajo.

seguridad en la baja de empleados: enfoque práctico para 2026

En esta sección sobre seguridad en la baja de empleados priorizamos decisiones útiles y verificables. El objetivo no es solo conocer conceptos, sino ejecutar acciones que reduzcan riesgo en plazos cortos y con responsables definidos.

Método de trabajo recomendado

Definir alcance técnico y legal antes de iniciar.
Priorizar hallazgos por impacto de negocio y explotabilidad.
Asignar responsables, fechas y evidencia esperada.
Validar resultados con pruebas de seguimiento.

Errores frecuentes

Comprar soluciones sin validar credenciales o metodología.
Confiar en promesas sin entregables concretos.
No documentar decisiones y evidencias.
No actualizar controles tras incidentes o cambios de entorno.

Indicadores que debes medir

Tiempo de detección, tiempo de respuesta, porcentaje de acciones cerradas y reincidencia de problemas. Estos datos permiten mejorar de forma continua y defender decisiones ante dirección.

Preguntas frecuentes

¿Cuándo conviene escalar a un equipo externo?

Cuando no hay capacidad interna para cubrir análisis, respuesta o validación técnica en el tiempo requerido.

¿Cómo evitar inversiones inútiles?

Pide alcance, metodología, entregables y criterios de éxito por escrito antes de contratar.

Recursos relacionados: 10 señales de que una empresa está comprometida y riesgos de la IA en la sombra en el trabajo.

Si necesitas apoyo, contacta con Cyberlord.