Baja de empleados: cuentas, sesiones e integraciones que debes revisar

Empieza por dónde trabaja la persona

En una empresa de servicios, una coordinadora puede usar correo, agenda, ERP, almacenamiento de evidencias y una aplicación del proveedor de rutas. Algunas herramientas usan el inicio de sesión corporativo; otras tienen su propia cuenta. Haz una lista con dueño, método de acceso y comprobación de baja. Incluye grupos, invitaciones pendientes y recuperación administrativa, sin poner contraseñas en la hoja.

Microsoft 365 documenta por separado bloqueo de acceso, conservación o transferencia de contenido y eliminación. Google Workspace explica que suspender preserva datos y que ciertos efectos dependen del servicio y la sesión. Usa el procedimiento específico de cada producto; un cambio en el correo no demuestra una revocación inmediata en toda aplicación conectada.

Ejemplo ficticio: ANA-07 sale del equipo de coordinación

El negocio autoriza la baja de ANA-07 a las 17:00. Hay tres sesiones de trabajo conocidas, una cuenta independiente del portal de rutas y una tarea nocturna que descarga órdenes usando su credencial. El escenario es sintético. El resultado deseado es impedir nuevo acceso de esa persona, conservar documentos autorizados y mantener la tarea con un responsable y una identidad apropiados.

La tarea nocturna no debe seguir con la credencial personal «porque todavía funciona». Tampoco debe cortarse sin aviso si operación depende de ella. Identifica quién puede cambiarla, qué permiso necesita y cómo probará una ejecución controlada. El dispositivo sin conexión debe quedar registrado como una dependencia pendiente: revocar acceso al servidor no demuestra borrar de inmediato una copia local.

Verifica accesos y continuidad

Haz las comprobaciones con autorización, cuentas de prueba o un procedimiento administrativo documentado. Registra hora, sistema, resultado y limitación. No hace falta entrar a información privada de la persona para comprobar que una identidad quedó bloqueada. Si no puedes verificar una aplicación externa, márcala pendiente y asigna seguimiento; no cierres la baja por la cantidad de casillas marcadas.

Distingue a la persona de las identidades compartidas

Si alguien conocía una clave compartida, desactivar su usuario no cambia esa clave. Revisa qué secretos o llaves podían usar otros dispositivos y decide una rotación coordinada con sus dependencias. Una integración legítima debe tener un dueño del negocio aunque utilice una identidad técnica. No compartas la nueva llave por el mismo canal o archivo al que la persona dada de baja aún accede.

También revisa permisos otorgados a aplicaciones, accesos de emergencia y medios de recuperación. La lista debe distinguir una credencial personal, una autorización delegada y una identidad de servicio: pueden requerir acciones diferentes. El alcance depende del contrato, del administrador disponible y de las funciones del producto; no prometas que una sola orden revocará cada mecanismo.

Cierra con pendientes y responsables explícitos

Conserva evidencia de lo comprobado y una lista de lo pendiente. Acuerda quién recibe correos de operación y quién localiza los archivos relevantes según la política aplicable. No elimines datos para aparentar una baja completa. Revisa llaves digitales, roles y permisos internos y una prueba de restauración cuando la continuidad dependa de una sola persona.

La hoja descargable no contiene secretos ni resultados aprobados. Lleva un inventario anonimizado de aplicaciones, tareas dependientes y responsables a una consulta gratuita de ciberseguridad. Podemos revisar los huecos del procedimiento y la forma de comprobarlos, sin asumir que todos los accesos pertenecen al mismo proveedor.