Cuando un empleado deja una empresa —por renuncia, por despido, por terminación de contrato— se inicia un período de riesgo informático que muchas PyMEs no gestionan con el cuidado necesario. El empleado se va, y con él puede irse (accidentalmente o a propósito) información sensible: listas de clientes, precios, fórmulas, documentación interna, contactos de proveedores.
El problema no siempre es malicioso. La mayoría de las “fugas de información” que aparecen en diagnósticos no son producto de traiciones: son resultado de procedimientos laxos que permiten que, cuando alguien se va, los accesos sigan activos, los archivos queden en dispositivos personales, y las contraseñas compartidas nunca se cambien.
Un procedimiento de desvinculación IT claro, aplicado sistemáticamente, resuelve la mayoría de estos riesgos. No requiere infraestructura compleja ni desconfianza hacia el personal: requiere disciplina operativa.
El riesgo real (sin dramatizar)
Cuando un empleado con acceso a sistemas se va, cuatro riesgos aparecen:
Acceso remoto posterior. Si la cuenta no se desactiva, el ex empleado puede seguir entrando al ERP, al correo, al servidor, desde cualquier lugar. Puede hacerlo por meses sin que nadie note, porque el acceso remoto no deja trazas tan visibles como una presencia física.
Información en dispositivos personales. Archivos que se mandaron al mail personal “para trabajar desde casa”, documentos en un OneDrive personal sincronizado con la notebook del trabajo, backups informales en pen drives. Esos datos salen de la empresa y nadie los recupera.
Contraseñas compartidas. Cuentas de servicios externos (banca online, redes sociales, hosting, proveedores) a las que el empleado tenía acceso. Si esas contraseñas no se cambian, el ex empleado las conoce.
Conocimiento no documentado. Procesos, configuraciones, criterios que solo el empleado conocía. No es un riesgo de fuga sino de continuidad: cuando se va, la operación puede verse afectada porque “solo él sabía cómo se hacía esto”.
El procedimiento mínimo
Un checklist de desvinculación IT, bien ejecutado, toma entre 30 minutos y 2 horas según el caso. Incluye estas acciones, idealmente ordenadas por criticidad:
El día de la desvinculación
1. Revocar accesos a sistemas centrales.
– Desactivar cuenta en el directorio corporativo (Microsoft 365, Google Workspace, Active Directory).
– Revocar accesos VPN.
– Desactivar/reasignar cuenta de ERP.
– Deshabilitar acceso a aplicaciones específicas del rubro.
2. Cambiar contraseñas de cuentas compartidas.
– Redes sociales de la empresa (Instagram, Facebook, LinkedIn) si el empleado las administraba.
– Hosting y dominio.
– Banca online (claves y tokens).
– Panel de facturación electrónica si tenía acceso.
– Cualquier cuenta del gestor de contraseñas compartido a la que haya tenido acceso.
3. Redirigir o reenviar correo.
– El correo del empleado se desactiva para recibir nuevos mails.
– Configurar una respuesta automática (“Esta persona ya no trabaja en la empresa. Por favor, contactar a X”).
– Reenviar correo entrante a un responsable durante 3-6 meses para no perder contactos importantes.
4. Recuperar o bloquear dispositivos de la empresa.
– Notebook corporativa: recuperarla o, si quedó con el empleado, invocar políticas de Intune/MDM para wipe remoto y dejarla fuera del dominio.
– Celular corporativo: ídem.
– Tokens físicos (2FA, YubiKey): recuperarlos.
– Llaves o tarjetas de acceso físico.
En la semana siguiente
5. Auditar accesos residuales.
– Revisar todos los sistemas que tengan acceso por usuario/contraseña individual. Verificar que no quede ningún acceso activo.
– Revisar aplicaciones SaaS donde el empleado podría haberse registrado con el mail corporativo (Trello, Slack externos, Dropbox personal, etc.).
– Verificar que no haya compartido archivos desde su cuenta hacia externos sin autorización.
6. Transferir conocimiento crítico.
– Procedimientos que solo él sabía: documentarlos o capacitar al reemplazo.
– Proyectos en curso: handover formal a otro responsable.
– Contactos comerciales: migrarlos al CRM o al responsable que corresponda.
7. Comunicar la salida a quien corresponda.
– Clientes asignados (si el empleado tenía cartera).
– Proveedores clave.
– Socios comerciales.
El caso del empleado con acceso privilegiado
Si el empleado que se va tenía permisos de administrador (sistema, red, servidor), el procedimiento se intensifica:
– Cambio inmediato de contraseñas de todas las cuentas administrativas.
– Revisión de accesos privilegiados a servidores, equipos de red, firewall, panel de hosting.
– Auditoría de cuentas de servicio (aplicaciones que corren con credenciales) para asegurarse de que no hay backdoors.
– Revisión de tokens y claves de API que pudieron quedar en proyectos o scripts.
En estos casos, conviene considerar también una revisión técnica por un tercero (pentesting básico, análisis de logs) para descartar cualquier acceso alternativo que pudiera haber quedado.
El momento de prepararse: antes de la desvinculación
Paradójicamente, la mejor desvinculación IT es la que se prepara antes de que haya una desvinculación específica. Tres medidas preventivas reducen muchísimo el riesgo:
Evitar cuentas compartidas siempre que sea posible. Cada usuario debería tener su propia credencial en cada sistema. Así, cuando se va, se desactiva su cuenta sin impactar al resto. Las cuentas del tipo “admin” con contraseña que saben cinco personas son una pesadilla de gestión.
Usar un directorio centralizado (ver artículo sobre “Crecer de 10 a 50 empleados”). Con Azure AD, Google Workspace Directory, o Active Directory, revocar accesos es un click. Sin directorio centralizado, es una peregrinación por cada sistema.
Política de BYOD clara (Bring Your Own Device). Si los empleados usan su propio celular o notebook para trabajar, hay que dejar en claro qué pueden tener de información de la empresa, y tener mecanismo (como Intune) para separar lo corporativo de lo personal y borrar solo lo corporativo cuando corresponda.
Lo que no es razonable
La desvinculación IT es una práctica de higiene operativa, no un ejercicio de desconfianza. Hay cosas que exceden lo razonable y pueden generar conflictos innecesarios:
– Pedir acceso al correo personal del empleado o a sus redes sociales privadas.
– Revisar conversaciones privadas que tuvo durante su empleo.
– Amenazas legales desproporcionadas para intimidar a un empleado que se va en buenos términos.
– Desactivar el correo corporativo tan rápido que el empleado no pueda ni siquiera recuperar contactos legítimos que tenía mezclados.
La línea entre protección razonable y desconfianza excesiva es fina, y conviene cuidarla. Muchos problemas de fuga de información en realidad son problemas de clima laboral previo: cuando un empleado se va enojado, es mucho más probable que haga daño.
Si mañana un empleado con acceso a sistemas críticos de tu empresa presentara la renuncia, ¿existe un checklist claro de qué hacer en las primeras 24 horas? Si la respuesta es “más o menos”, vale armarlo antes de que haga falta. Es el tipo de documento que, cuando se necesita, ya es tarde para pensarlo desde cero.
