Su responsable de TI se marcha en dos semanas. ¿Qué implica para su empresa?
Es una situación habitual en las pequeñas oficinas, y quizá ya le haya ocurrido: la persona que «se encarga de los ordenadores» comunica que deja el puesto, avisa con dos semanas de antelación, explica algunas tareas a un compañero y se marcha.
En la mayoría de los casos, la transición es fluida. Se recoge su portátil. Se redirige su correo electrónico. Otra persona asume las tareas del soporte técnico. La vida continúa.
Lo que casi siempre queda pendiente es documentar sus conocimientos y revocar todos los accesos que aún conserva.
El problema no es lo que tomaron. Es lo que dejaron atrás.
Cuando un empleado o contratista clave de TI deja la empresa, la preocupación inmediata de muchos responsables es: ¿se habrá llevado algo? Es una inquietud razonable. Un estudio de OneLogin de 2019 reveló que el 50% de los exempleados seguían teniendo acceso a los sistemas de la empresa tras su salida y que el 20% de las empresas encuestadas ya habían sufrido una filtración de datos causada por un exempleado. Otra investigación del Ponemon Institute cifró en un 59% la proporción de empleados que se llevaron datos de la empresa al marcharse.
Pero el riesgo más silencioso y persistente es el problema opuesto: el acceso que permanecía abierto sin que nadie lo supiera.
Con el paso de meses o años, una persona dedicada a TI acumula puntos de acceso que nadie más conoce. Creó la cuenta de administrador en el firewall. Configuró el servicio de copia de seguridad en la nube utilizando su propia dirección de correo electrónico. Es quien conoce la contraseña raíz del servidor en la sala de atrás. Configuró las credenciales de VPN para la herramienta de acceso remoto. Registró el dominio a través de su cuenta personal de GoDaddy porque era más rápido en ese momento. Tiene la información de inicio de sesión del sistema de cámaras de seguridad guardada en su navegador.
Nada de esto se hizo con mala intención. Simplemente era la forma en que se hacían las cosas en una oficina pequeña. Pero cuando se van, todos esos puntos de acceso permanecen activos. Y dependiendo de quién fuera esa persona y cómo se fue, esas puertas abiertas representan un riesgo que va desde inconvenientes hasta serias consecuencias.
Tres escenarios, ninguno de ellos teórico
La salida amistosa que aún sale mal. Su responsable de TI se fue en buenos términos por una mejor oportunidad. Sin rencores. Pero seis meses después, su portátil personal —que todavía tiene sus credenciales guardadas— es comprometido en una brecha de un sitio web no relacionado donde reutilizó su contraseña. Los atacantes ahora tienen la combinación de nombre de usuario y contraseña que todavía funciona en su herramienta de acceso remoto, porque nadie revisó qué credenciales debían rotarse cuando se fue. La brecha proviene de una cuenta que no debería haber existido durante meses.
El sistema no documentado que se convierte en una crisis. Su responsable de TI gestionaba un sistema de copia de seguridad que funcionaba en segundo plano. Cuando se fue, explicó lo básico, pero nadie solicitó la documentación de recuperación. Catorce meses después, un ransomware ataca su servidor de archivos. Se solicita soporte de TI. El sistema de copia de seguridad no ha estado funcionando correctamente desde un cambio de configuración que ocurrió hace ocho meses —un cambio que nunca se comunicó porque la persona que lo habría notado ya se había ido. Las copias de seguridad están ahí. Los datos no.
El acceso al proveedor que nadie revisó. Antes de irse, su responsable de TI había configurado el acceso remoto para un proveedor de software de terceros —una cuenta de servicio con sus propias credenciales, utilizada para el mantenimiento remoto. Esa relación con el proveedor terminó hace un año, pero la cuenta de servicio sigue activa en su sistema. Ni usted ni su equipo de soporte actual lo sabían. No aparece en su lista de usuarios estándar porque se creó como una cuenta local en un servidor específico. Los atacantes que comprometieron ese proveedor en un incidente separado utilizaron esas credenciales para acceder a su entorno meses después de que todos se hubieran ido.
¿Qué implica una baja de personal bien gestionada en TI?
La mayoría de los responsables de oficina asocian la baja de personal en TI con recuperar el portátil y desactivar el correo electrónico. Esto cubre quizás el 20% de la superficie real.
Una baja de personal bien gestionada en TI incluye una revisión sistemática de todas las cuentas a las que el empleado saliente tenía acceso: no solo su inicio de sesión personal, sino también todas las cuentas compartidas, credenciales de administrador, portales de proveedores, servicios en la nube y consolas de gestión de hardware. Esta lista es más larga de lo que cabría esperar, incluso en una oficina pequeña.
Incluye credenciales compartidas que se rotan para cualquier cosa a la que tenían acceso, ya que cambiar la contraseña de una cuenta no tiene ningún efecto en las seis cuentas compartidas que utilizaban las mismas credenciales. Una encuesta de la Cloud Security Alliance de 2024 reveló que el 52% de las organizaciones habían experimentado un incidente de seguridad relacionado específicamente con la mala gestión del acceso: credenciales que nunca se revocaron o rotaron adecuadamente después de los cambios de personal.
Esto incluye revisar qué sistemas estaban configurados bajo sus cuentas personales o direcciones de correo electrónico: registradores de dominio, autoridades de certificados SSL, cuentas de alojamiento en la nube, plataformas de copia de seguridad. Estos son los que dejan de funcionar silenciosamente en el momento de la renovación cuando nadie tiene acceso a la dirección de correo electrónico que recibe las notificaciones.
Esto incluye documentar lo que sabían. No como un favor de despedida al empleado, sino porque un entorno de TI gestionado donde los sistemas críticos solo son comprendidos por una persona no es un entorno gestionado: es un punto único de fallo con el nombre de un departamento de TI.
Una comprobación que puede hacer ahora mismo
Si utiliza Microsoft 365, puede realizar una auditoría rápida desde el portal de administración sin necesidad de conocimientos técnicos. Abra el Centro de administración de Microsoft 365, vaya a «Usuarios», revise las cuentas eliminadas recientemente y compruebe por separado los usuarios activos. Busque cualquier cuenta que pertenezca a personas que ya no están en la organización.
Cuando se elimina una cuenta en Microsoft 365, permanece en un estado de «eliminación temporal» durante 30 días antes de ser eliminada permanentemente. Pero, lo más importante, las cuentas activas de los empleados que han renunciado pueden existir indefinidamente si nadie las ha desactivado específicamente: y un número sorprendente de pequeñas oficinas tienen cuentas de correo electrónico activas, y por lo tanto, credenciales de inicio de sesión, para personas que se marcharon hace un año o más.
Esta es la parte visible. La parte menos visible: las credenciales de administrador del firewall, el acceso al sistema de copia de seguridad, los portales de proveedores, el registrador de dominio, requieren una revisión estructurada que va más allá de lo que muestra el portal de administración.
La parte que es difícil de hacer por uno mismo
El desafío al gestionar la salida de personal de TI no es que sea técnicamente complejo: la mayoría de los pasos individuales son sencillos. La dificultad está en los accesos y sistemas cuya existencia se desconoce.
Si el responsable de TI que se marcha fue quien creó y gestionó el entorno, también es la persona mejor posicionada para saber qué debe ser transferido. Cuando esta transferencia no se realiza correctamente (lo cual suele ocurrir, ya que las salidas son apresuradas y la documentación rara vez es una prioridad cuando alguien está enfocado en su próximo trabajo), las lagunas no se revelan de inmediato. Se revelan seis meses después, cuando falla la copia de seguridad, o el dominio expira, o una auditoría descubre una cuenta activa para alguien que no ha trabajado allí durante un año.
La respuesta correcta es un entorno que, en primer lugar, no dependa de la memoria de una sola persona: donde las cuentas se gestionan de forma centralizada, el acceso está documentado, los sistemas están inventariados y la salida de un empleado es una lista de verificación en lugar de una improvisación. Esto no es una característica de tener el profesional de TI adecuado. Es una característica de tener la estructura de TI adecuada. Y esa estructura es exactamente lo que se busca en una asociación de TI gestionada.
Si su organización ha pasado por una reciente transición de TI (o si realmente no está seguro de quién tiene acceso a qué), esa incertidumbre en sí misma merece una conversación.
También es recomendable revisar la autenticación de correo electrónico después de una transición de TI, especialmente si anteriormente la configuración del dominio, DNS o de Microsoft 365 era responsabilidad de una sola persona. Para una explicación técnica más detallada, consulte nuestra guía sobre la implementación, configuración y supervisión de DMARC, que incluye las políticas de SPF, DKIM, DMARC y la generación de informes.
