Qué pasa con los accesos cuando un empleado deja tu empresa

Cuando alguien deja una empresa, lo primero que viene a la mente es la liquidación, devolver el equipo, y avisar al equipo. Lo que casi nunca entra en la lista: revocar sus accesos digitales.

Es un error que se repite en la mayoría de las PyMEs de Tampico, Ciudad Madero y Altamira con las que hemos platicado. No por descuido, sino porque nadie tiene claro quién es responsable de hacerlo, ni qué sistemas hay que cerrar.

El problema real: nadie sabe a qué tenía acceso

Cuando preguntas al dueño o al gerente "¿a qué sistemas tenía acceso este empleado?", la respuesta más común es una pausa larga.

El correo corporativo, sí. ¿Pero también tenía acceso al Drive compartido? ¿A la cuenta de redes sociales? ¿Al sistema de facturación? ¿A algún portal de proveedor con la contraseña de la empresa?

En muchos casos ni el propio empleado recuerda todo lo que podía abrir.

Qué puede pasar si no cierras esos accesos

No hace falta que el ex-empleado tenga malas intenciones para que esto sea un problema. Basta con que:

• La cuenta de correo siga activa y llegue información confidencial de clientes o proveedores que ya no le corresponde ver.
• Alguien más consiga su contraseña mediante phishing, y use esa cuenta activa para entrar a tus sistemas.
• El empleado acceda a archivos sin querer (o con intención) desde un dispositivo personal donde todavía tiene sesión iniciada.
• Una auditoría o cliente descubra que personas que ya no trabajan en la empresa aparecen con acceso a sus datos.

En el peor de los casos: ransomware, fuga de información de clientes, o una factura falsa aprobada porque alguien que ya no debería estar en el sistema aún podía entrar.

Por qué pasa esto en PyMEs

En una empresa grande hay un equipo de IT con procesos definidos. En una PyME, la gestión de accesos suele estar en manos de alguien que tiene otras diez responsabilidades, y el proceso de baja se reduce a "ya entregó su computadora".

Además, los accesos están dispersos: Google Workspace o Microsoft 365 para correo y archivos, un sistema de facturación, el portal del banco, plataformas de logística, cuentas de redes sociales, herramientas de diseño o ventas. No hay un solo lugar donde se vea todo.

Qué hacer al respecto

No necesitas un equipo de IT dedicado para tener esto bajo control. Estos cuatro pasos cubren el 80% del riesgo:

1. Haz un inventario de sistemas y quién tiene acceso a cada uno. Un archivo de Excel es suficiente para empezar. Columnas: sistema, quién tiene acceso, tipo de acceso (admin, usuario, solo lectura), fecha de último acceso. Actualízalo cada vez que alguien entra o sale.

2. Define un proceso de baja que incluya accesos digitales. Cuando alguien sale, la checklist de devolución de equipo debe incluir: suspender cuenta de correo, revocar acceso a Drive/SharePoint, cambiar contraseñas compartidas, desactivar en todos los sistemas listados en tu inventario.

3. Elimina las contraseñas compartidas. Si cinco personas usan la misma contraseña para el portal de un proveedor, cuando una sale no puedes simplemente eliminarla. La solución es que cada persona tenga su propio acceso, o usar un gestor de contraseñas empresarial que permita revocar acceso individual.

4. Activa la autenticación en dos pasos en el correo y sistemas críticos. Aunque alguien tenga una contraseña antigua, sin el segundo factor no puede entrar. Es la medida de mayor impacto por menor esfuerzo.

Cuándo llamar a alguien

Si al leer esto te diste cuenta de que no sabes con certeza a qué sistemas tenía acceso el último empleado que salió de tu empresa, es momento de hacer el inventario. Si necesitas ayuda para estructurarlo, definir el proceso de baja, o implementar una solución de identidad que automatice todo esto, en MonsaTech lo hacemos como proyecto cerrado con entrega completa.

No hace falta un contrato mensual para resolver esto. A veces basta con una implementación bien hecha.