La salida de los empleados suele ser más rápida que el proceso de retirar sus accesos. Como consecuencia, las cuentas permanecen activas más tiempo del que deberían, las licencias siguen asignadas y las herramientas compartidas mantienen a los antiguos trabajadores en la lista de usuarios. Cada retraso aumenta el riesgo de ingresos no autorizados, obligando a los equipos de IT a resolver problemas que podrían haberse evitado con un procedimiento claro y automatizado de revocación de accesos en offboarding.
La remoción de accesos se refiere a la retirada del permiso de ingreso a los recursos propiedad de la empresa de un empleado que se va. Normalmente abarca las licencias de software, las cuentas de usuario, las aplicaciones en la nube, las carpetas compartidas y los sistemas internos.
Si se realiza manualmente, el procedimiento dependerá de checklists y de seguimientos ejecutados por varios equipos. En cambio, al automatizar el offboarding, los pasos se centralizan, activándose en el momento adecuado. Por lo tanto, se reducen la probabilidades de omisiones o retrasos en la retirada.
¿Por qué es importante revocar los accesos a los empleados?
La baja de accesos cierra el gap entre la salida de un empleado y la desactivación de sus cuentas. Cuando perdura esa brecha, los antiguos trabajadores pueden seguir ingresando a los sistemas internos, las herramientas en la nube o los datos compartidos sin supervisión.
Los equipos de seguridad señalan a la demora en la retirada del acceso como una causa recurrente de los incidentes vinculados a la exposición de los datos, especialmente en entornos con un uso intensivo de los recursos SaaS, donde el ingreso se distribuye entre muchas herramientas.
Las conclusiones de un informe reciente mostraron que el 90% de las empresas tenían antiguos empleados que aún podían entrar a aplicaciones SaaS tras su salida. Cada cuenta que permanece activa representa una puerta abierta a las soluciones internas, los datos compartidos y la información de los clientes.
El riesgo es real. Así, en un caso ampliamente difundido, un ex trabajador de Cash App accedió a datos confidenciales de 8,2 millones de clientes meses después de su despido. Incidentes como este rara vez se deben a un único fallo: suelen apuntar a procesos de offboarding en los que la retirada del ingreso depende de pasos manuales, notificaciones retrasadas o una cobertura incompleta del sistema.
La revocación de accesos en offboarding realizada de forma manual también conlleva problemas operativos: las licencias no utilizadas siguen generando costos, las cuentas compartidas permanecen completas y las auditorías se vuelven más difíciles de superar cuando los registros de los ingresos se encuentran incompletos o resultan obsoletos.
Para un offboarding seguro se requiere la automatización, porque reduce esa exposición al riesgo al vincular las acciones de retirada directamente a los eventos de salida de los trabajadores. Así, de acuerdo a reglas predefinidas, se realiza la desactivación de las cuentas, la recuperación de las licencias y la eliminación de los permisos.
Escenarios habituales que requieren la remoción de accesos
Las organizaciones deben revocar los accesos de los empleados en más situaciones que el offboarding. Si bien este es el caso más visible, hay varios ejemplos cotidianos que requieren el mismo nivel de control.
Algunos casos habituales son:
- Offboarding: cuando un trabajador abandona la empresa de forma permanente.
- Cambios en las funciones: hay que eliminar la entrada a sistemas o datos anteriores.
- Traslados entre los departamentos: donde las herramientas o los permisos ya no son aplicables.
- Fin de la contratación del personal temporario o con contrato.
- Permisos prolongados: licencias por diferentes motivos, en los que el acceso tiene que limitarse o suspenderse.
- Incidentes de seguridad: impulsan la retirada inmediata de los ingresos como medida de contención.
Cada uno de estos ejemplos se podría beneficiar de las reglas de revocación predefinidas, en lugar de depender de decisiones ad hoc o de un proceso manual.
Pasos para automatizar la revocación de accesos en offboarding con InvGate
La configuración de la automatización del offboarding se realiza rápidamente mediante la plantilla de flujo de trabajo de InvGate Service Management. Esta herramienta define el proceso completo al conectar la gestión de servicios de RR.HH., IT, Instalaciones y los activos en un único flujo, facilitando la incorporación de tareas de remoción de accesos, sin tener que diseñar todo desde cero.
El flujo de trabajo del offboarding comienza con la identificación del empleado para su salida. RR.HH. se encarga de la entrevista final y completa las acciones administrativas a través de una checklist estructurada, que abarca las actualizaciones de los registros, las prestaciones y los pasos de la liquidación del sueldo. Posteriormente, el proceso continúa de forma natural a las actividades relacionadas con la revocación de accesos en offboarding, que no involucra traspasos manuales.
Coordinar la baja de accesos con los subflujos
Tras los pasos iniciales de RR.HH., el flujo de trabajo del offboarding llega a un punto clave en el que se coordinan entre los equipos las bajas de usuarios de los sistemas. Esto se realiza a través de subflujos que activan solicitudes a otros help desks, siguiendo la estructura interna y las responsabilidades de cada sector.
Algunos ejemplos de peticiones son para estas tareas:
- Desactivación de cuentas de red y de dominio.
- Revocación del ingreso a sistemas internos y aplicaciones de software.
- Cancelación del acceso a servicios en la nube y al almacenamiento de los archivos.
- Anulación de la entrada a la VPN y a la red.
- Actualización del ingreso a las instalaciones en función de la ubicación del empleado.
Cada una de estas solicitudes se convierte en un ticket asignado al equipo correspondiente. La organización define la descripción, el help desk o la persona responsable, la fecha de vencimiento y la prioridad (en general es alta, ya que refleja el impacto en la seguridad que conlleva un retraso de la retirada del acceso).
Activar los cambios de acceso con pasos basados en acciones
Los subflujos se encargan de la coordinación, pero el flujo de trabajo también puede ejecutar directamente los cambios de acceso. En esta fase, es posible utilizar bloques de construcción para activar acciones, en lugar de limitarse a asignar tareas.
Mediante los conectores de acción integrados, cabe la alternativa de automatizar los siguientes pasos:
- Desactivación de un usuario en Entra ID.
- Uno en Okta.
- O uno en Google Workspace.
- Eliminación de permisos en SharePoint.
La combinación de subflujos con pasos basados en acciones ofrece flexibilidad a los equipos. Algunos cambios de acceso se ejecutan automáticamente, mientras que otros siguen generando tickets cuando se requiere la validación humana. En cualquier caso, las bajas de usuario en los sistemas pasan a formar parte de un proceso definido que se ejecuta en el momento adecuado, con claras responsabilidades y máxima trazabilidad.
Recuperar los activos y cerrar el proceso
Una vez realizada la gestión de bajas IT, el flujo de trabajo pasa a la recuperación de los activos y al cierre. El departamento de Informática reúne los equipos y soluciones correspondientes, para luego revisarlos y aprobar la devolución, que se documenta en InvGate Asset Management. Allí se actualiza la propiedad, el estado y la ubicación, manteniendo el inventario alineado con los cambios en los accesos.
Para completar el proceso, un correo electrónico automático notifica al responsable directo que finalizaron el offboarding y la revocación de permisos de todos los sistemas e instalaciones. Esa confirmación ayuda a evitar problemas en el seguimiento, además de dejar un registro trazable del cumplimiento.
¿Estás listo para aportar estructura y coherencia a la baja de empleados? Con InvGate Service Management, puedes utilizar plantillas de flujos de trabajo y automatización sin código que facilitan la revocación de accesos en offboarding, coordinar los equipos y garantizar un procedimiento controlado, de principio a fin. Empieza con una prueba gratuita de 30 días para conocer la herramienta en acción.
5 prácticas recomendadas para un offboarding seguro y una revocación de accesos efectiva
- Una única fuente veraz de información para el acceso de los usuarios: centraliza los datos de identidad y la titularidad del ingreso. Cuando varios sistemas definen las entradas de forma independiente, las eliminaciones se vuelven inconsistentes y es fácil pasarlas por alto durante el offboarding.
- Relación de la revocación de los ingresos con un desencadenante formal: inicia la retirada de los ingresos a partir de un evento de salida claro, como un registro de dimisión o despido. Esto evita los correos electrónicos o las notificaciones informales, ya que a menudo llegan tarde o carecen de detalles clave.
- Diferenciación de las entradas por rol y nivel de riesgo: no todas las cuentas conllevan el mismo nivel de criticidad. Los sistemas administrativos, financieros y de atención al cliente deben revocarse primero o gestionarse con controles más estrictos que las herramientas de bajo riesgo.
- Uso de reglas predefinidas, en lugar de decisiones ad hoc: define qué roles, herramientas y permisos tienen que eliminarse para cada escenario de baja. Las normas reducen las variaciones entre los equipos, a la vez de facilitar la auditoría posterior al proceso.
- Consideración del acceso no humano y compartido: las cuentas de servicio, los buzones compartidos, los tokens de la API y los permisos delegados suelen sobrevivir al empleado. Por lo tanto, hay que incluirlos en los chequeos para evitar dejar de lado esos ingresos indirectos.
