Cuando alguien deja la empresa: la lista de accesos que hay que cerrar

Accesos y contraseñas28 de May de 2026

El día que alguien deja la empresa hay que cerrar sus accesos, y el problema no es la mala intención: es que una cuenta activa sin dueño es una puerta que nadie vigila. Esta es la lista, en orden, y los cuatro accesos que se olvidan siempre.

4 min de lectura6 secciones

Por qué importa aunque la salida sea buena

La mayoría de las salidas son cordiales y nadie sospecha de nadie. Pero una cuenta que sigue activa después de una baja tiene tres problemas independientes de la persona.

Nadie la vigila: si esa contraseña aparece en una filtración dentro de dos años, quien la use entrará sin que nadie note nada raro. Nadie lee su correo: los mensajes de clientes que sigan llegando ahí se pierden. Y si un día hay que revisar quién hizo qué, aparece una cuenta activa de alguien que no trabaja allí, que es exactamente el tipo de hallazgo que complica una auditoría.

La lista, en orden

Primero: lo que da acceso a todo lo demás

1. Cuenta de correo. No la borres el primer día: suspéndela o cambia la contraseña y cierra las sesiones abiertas. Borrarla de golpe hace perder el historial y rebota los correos de clientes.
2. Cierre de sesiones activas. Cambiar la contraseña no expulsa a quien ya está dentro hasta que caduque la sesión. Hay que forzar el cierre en todos los dispositivos.
3. Doble factor. Retirar su dispositivo de los métodos de verificación de las cuentas compartidas.
4. Gestor de contraseñas. Revocar su acceso y cambiar las credenciales compartidas a las que tenía acceso. Esto último se salta mucha gente: si conocía la contraseña del banco, revocarle el gestor no la cambia.

Después: el resto de sistemas

1. Programa de gestión o facturación.
2. Panel de la web y del hosting.
3. Acceso remoto y red privada, si la hay.
4. Herramientas de trabajo: almacenamiento en la nube, mensajería interna, gestión de proyectos.
5. Redes sociales de la empresa y plataformas de publicidad.
6. Banca electrónica y firma digital.
7. Acceso físico: llaves, tarjetas, alarma.

Los cuatro que se olvidan siempre

• Reglas de reenvío en su buzón. Puede haber una regla que reenvíe copia a una dirección personal, creada en su día por comodidad. Sigue funcionando después de la baja si nadie la mira.
• Su móvil como método de recuperación de cuentas de empresa. Si su número es el que recibe los códigos de recuperación de una cuenta compartida, esa cuenta sigue en sus manos.
• Aplicaciones conectadas. Servicios de terceros a los que dio permiso con su cuenta y que siguen teniendo acceso a datos de la empresa.
• Suscripciones a su nombre. Herramientas que se pagaron con su tarjeta o se registraron con su correo personal. No es un riesgo de seguridad, pero es un servicio que dejará de funcionar sin avisar.

Cómo convertirlo en un procedimiento

Lo que falla no es saber qué cerrar: es que nadie lo hace porque no está asignado. Tres decisiones lo resuelven.

Una persona responsable de ejecutar la lista, normalmente quien lleve administración. Un plazo, que debería ser el mismo día de la salida efectiva para los accesos críticos. Y un registro donde quede firmado qué se cerró y cuándo, que es lo que después permite demostrar que se hizo.

Si tenéis un gestor de contraseñas, la lista de accesos de cada persona ya existe y el procedimiento se reduce a recorrerla. Si no lo tenéis, el primer paso es reconstruir esa lista, y ese trabajo se hace mejor antes de que alguien se vaya.

Y cuando entra alguien

El procedimiento inverso merece el mismo cuidado, y suele ser el momento de tomar las decisiones que luego se agradecen: dar solo los accesos que necesita para su trabajo, no los mismos que tenía su antecesor, y anotar cuáles son desde el primer día.

En la auditoría de seguridad revisamos precisamente esto: cuántas cuentas activas hay de personas que ya no están y qué accesos quedaron abiertos. Suele ser el hallazgo más frecuente. Escríbenos y lo comprobamos en tu caso, o mira antes las preguntas frecuentes.