Resumen y checklist a partir del curso Protocolos de ciberseguridad para despidos de LinkedIn Learning, dirigido a profesionales de IT, ciberseguridad y recursos humanos.
Una desvinculación laboral también es un evento de seguridad: una persona que conoce dónde está la información y cómo acceder a ella deja de formar parte de la organización. Esto aplica tanto a despidos como a salidas voluntarias, que no deberían tratarse con menos cuidado.
Tipos de desvinculación
- Individual o colectiva: cambia la escala y los procedimientos legales, pero también la coordinación necesaria para cerrar muchos accesos a la vez.
- Voluntaria: suele haber un período de preaviso en el que la persona sigue teniendo acceso a todo.
- En remoto: el equipamiento y la conexión no están bajo control físico de la empresa en el momento del despido.
En todos los casos, RRHH e IT tienen que coordinarse antes del momento del despido para que los accesos se cierren a tiempo, ni antes ni después.
Checklist para la organización
Antes del despido
- Coordinar fecha y hora con RRHH.
- Inventariar los accesos de la persona: sistemas internos, VPN, carpetas compartidas, intranet y correo.
- Inventariar los servicios externos (SaaS y nube pública) que usa, incluidos los que no pasan por el SSO corporativo.
- Identificar contraseñas compartidas que conoce (cuentas de equipo, cuentas de servicio).
- Listar el equipamiento asignado: portátil, teléfono, tokens, tarjetas de acceso, equipos específicos.
En el momento del despido
- Deshabilitar la cuenta corporativa (por ejemplo, en Active Directory) y la VPN.
- Revocar sesiones activas y accesos a servicios externos.
- Rotar las contraseñas compartidas que conocía.
- Recibir el equipamiento corporativo.
Después del despido
- Redirigir las vías de contacto con clientes y proveedores (correo, teléfono) para que la comunicación no se corte.
- Mantener los equipos en custodia un tiempo antes de reasignarlos, por si hace falta revisar algo.
- Revisar los registros de actividad de los últimos días.
Por qué importan las cuentas nominales
Las cuentas individuales son la base de la triple A (Authentication, Authorization, Accountability). Con cuentas nominales alcanza con deshabilitar un usuario para cortar su acceso y se puede saber quién hizo qué. Las contraseñas compartidas rompen ese modelo: si todo un equipo conoce la misma credencial, es casi imposible atribuir una acción a una persona, y cada salida obliga a rotarla.
Más sobre este tema en Matriz de Accesos y AAA23.
Checklist para quien se va
- Guardar la documentación laboral propia (contrato, carta de despido, recibos de sueldo) antes de perder el acceso.
- No instalar aplicaciones personales en equipos corporativos, para mantener separadas la vida personal y la laboral.
- Cerrar sesión o cambiar la contraseña de las cuentas personales usadas desde el equipo corporativo (correo, redes sociales, contraseñas guardadas en el navegador).