Cada nuevo empleado que se incorpora y cada uno que se marcha genera un lote de tareas IT que muchas PYMEs resuelven sobre la marcha. Cuentas de correo, licencias, equipos y permisos de acceso se gestionan a menudo sin un proceso definido. El resultado es previsible: descoordinación, retrasos y, en el peor de los casos, una puerta abierta. Una baja mal cerrada no es solo un problema operativo; es un riesgo de seguridad y, potencialmente, un incidente notificable conforme al RGPD.
En este artículo veremos por qué altas y bajas deben tratarse como un proceso repetible y un entregable con plazos comprometidos. Analizaremos qué acciones concretas componen un alta, qué debe incluir una baja con revocación de accesos el mismo día y cuándo un cierre defectuoso puede convertirse en un incidente notificable ante la AEPD. También revisaremos qué debe quedar por escrito antes de exigir plazos, los entregables que conviene pedir a tu proveedor de soporte informático empresas, cómo verificar su cumplimiento, los errores más frecuentes en una PYME y qué pasos dar a partir de ahora.
Por qué cada alta y cada baja es un lote de tareas IT
Una contratación desencadena más acciones de las que parece. Hay que crear la cuenta en el directorio corporativo, abrir el buzón, asignar la licencia de Microsoft 365, definir grupos y permisos en Teams y SharePoint, preparar el equipo, entregar móvil o SIM, dar acceso al ERP, al CRM y a facturación, abrir carpetas compartidas, configurar VPN, extensión telefónica y cuentas en herramientas SaaS. Una baja arrastra la misma lista en sentido inverso: deshabilitar identidad, revocar sesiones y tokens, retirar permisos, reasignar licencias, recuperar dispositivos y cerrar accesos de terceros.
Improvisar sale caro. Contraseñas que se comparten entre compañeros, cuentas genéricas sin propietario, altas que se cierran a medias y licencias que se siguen pagando meses después de la salida. Conviene fijar el encuadre: la revocación el mismo día es una recomendación de buenas prácticas defendida en este artículo, no un estándar universal ni una obligación legal literal.
La tesis es simple: ni el alta ni la baja son un recado puntual. Son un proceso repetible, con entradas definidas, responsables asignados, plazos comprometidos y evidencias archivadas, y debe residir en un proveedor de soporte técnico informático para empresas, con compromisos por escrito. Ese encaje contractual también condiciona el coste real del soporte informático externo para PYMEs, porque lo que no se entrega por escrito se acaba pagando aparte.
Qué acciones concretas componen un alta de empleado
Con tareas inventariadas, el alta es una secuencia verificable, no una suma de recados.
- Identidad y acceso. Crea la cuenta en el directorio corporativo (por ejemplo, Entra ID en Microsoft 365). Exige autenticación multifactor desde el primer inicio. Asigna permisos por rol, no por costumbre; prohíbe cuentas compartidas individuales. ISO/IEC 27002 establece procedimientos formales, documentados y controlados para asignar derechos (Anexo 9 de ISO 27002).
- Correo y herramientas. Habilita buzón y dirección corporativa. Añade a la persona solo a grupos, canales, unidades y sitios de SharePoint que su puesto requiera. Ajusta la licencia al puesto: pagar capacidades sin uso es un coste silencioso.
- Equipo. Entrega el dispositivo con imagen preparada, disco cifrado y alta en gestión/monitorización remota. Documenta con acta firmada por quien recibe.
- Accesos operativos y de terceros. Configura VPN, reglas de firewall, aplicaciones internas, telefonía y plataformas externas de comunicación con clientes. Cada acceso se mapea a una persona concreta con fecha de alta.
- Criterio de alta completa. Cierra con lista de verificación fechada que nombre responsables por punto. Permite afirmar qué se entregó, cuándo y a quién. Sin ella, el alta no está terminada.
Qué debe incluir la baja, incluida la revocación de accesos el mismo día
La baja recorre esa misma lista en sentido inverso, pero con el reloj en contra.
Identidad y sesiones. Deshabilitar la cuenta en el directorio y revocar tokens y sesiones activas: cambiar la contraseña sin cerrar sesiones deja un móvil o un cliente de correo con entrada durante semanas. Retirar los métodos de MFA del dispositivo personal y rotar las contraseñas de cuentas compartidas.
Correo corporativo. Decidir antes de la salida si el buzón se desactiva, pasa a buzón compartido o responde automáticamente con delegación temporal, y fijar por escrito quién asume los mensajes entrantes.
Licencias. Reasignar o dar de baja el asiento el mismo día.
Dispositivos y material. Recuperar portátil, móvil, tarjetas, llaves y tokens con acta de devolución que refleje el estado del equipo; borrado seguro y reimagen antes de reasignarlo. Si no vuelve, activar el borrado remoto y documentarlo.
Terceros y datos personales. Retirar autorizaciones y cuentas creadas en servicios externos, transferir la titularidad de las que deban seguir y registrar a qué datos de clientes o colaboradores tenía acceso esa persona, porque ese punto condiciona el análisis de riesgo posterior; la misma trazabilidad que necesita un cambio de proveedor de IT sin pérdida de datos ni caídas.
Una baja mal cerrada como posible incidente notificable
Una cuenta de un extrabajador todavía activa no es automáticamente una brecha, pero es la situación de riesgo que la Guía de la AEPD sobre brechas de seguridad (junio de 2021) enseña a vigilar: define qué cuenta como brecha de datos personales, todo incidente que destruya, pierda, altere o exponga datos sin autorización, y ordena su gestión. Si esa cuenta se usa tras la salida, el incidente deja de ser hipotético.
El artículo 33 del RGPD obliga a notificar a la AEPD las brechas con riesgo para los derechos y libertades; el artículo 34, a comunicarlas a los afectados cuando el riesgo sea alto. El plazo general de notificación es de 72 horas.
Escenarios que convierten esa baja en incidente notificable: cuenta heredada sin rotación de contraseña ni MFA; acceso remoto o VPN olvidado; buzón histórico con datos de clientes aún accesible; dispositivo no devuelto con información descargada, donde una copia offsite verificada limita el daño; y permisos reutilizados al reasignar un equipo sin borrado previo.
No existe evidencia pública que cuantifique qué proporción de incidentes en PYMEs proviene de extrabajadores, así que aquí no hay cifras inventadas. La relación entre una baja mal cerrada y una brecha notificable es una inferencia razonada desde el alcance de la guía, no una afirmación de la AEPD.
Lo que debe quedar por escrito antes de exigir plazos
Ese riesgo se gestiona con proceso, no con confianza. Antes de exigir plazos, fija por escrito qué se mide y sobre qué: sin inventario único y vivo de cuentas, licencias, equipos y accesos no hay nada que reclamar ni forma de comprobar que un alta o una baja terminó entera.
El contrato debe fijar qué es una baja: persona, fecha y hora de efecto, quién la autoriza, canal oficial de solicitud y ventana horaria de atención. Sobre esa base se pactan los plazos: alta resuelta en un número concreto de días laborables y baja ejecutada el mismo día laborable si la solicitud entra antes de una hora determinada. Las excepciones (material no devuelto, accesos de terceros) se redactan para acotar el compromiso, no para vaciarlo.
Cada cierre exige evidencia: acta de alta con checklist, acta de baja con capturas de la cuenta deshabilitada, sesiones revocadas, licencia liberada y material devuelto, más confirmación por escrito al responsable de la empresa.
Contacto directo para incidencias, informe mensual de cumplimiento de plazos y una cláusula de revisión que dé peso al compromiso. Al evaluar soporte técnico informático para empresas, estas preguntas separan a un proveedor ordenado de uno reactivo; conviene contrastarlas antes de firmar, empezando por cuándo subcontratar el soporte informático externo.
Los entregables que conviene exigir a tu soporte informático para empresas
Sobre esa base, estos son los entregables concretos que conviene exigir:
- Lista maestra de activos y matriz de permisos por rol. Inventario de cuentas, licencias, equipos y accesos, revisado al menos una vez al año, capaz de responder en minutos qué tenía cada persona al entrar y qué conserva al salir.
- Revocación documentada el mismo día. Cuentas deshabilitadas, sesiones y tokens revocados, accesos en la nube y remotos cerrados, con evidencia archivada. La confirmación verbal por teléfono o mensajería no demuestra nada.
- Gestión de licencias como partida económica. Comparativa mensual entre asientos contratados y plantilla real, con propuesta de reasignación o baja. Es el que se paga solo.
- Recuperación y saneamiento de equipos. Procedimiento escrito de devolución, borrado seguro, reimagen y reasignación, con trazabilidad por número de serie. Si el material no vuelve, borrado remoto documentado.
- Trazabilidad y responsabilidad. Tickets con fecha, autor y resultado, actas firmadas y una persona identificada que responde si un acceso no se cerró a tiempo.
Un proveedor que trabaja así desde el arranque, como se detalla en los primeros 30 días de un proveedor de IT externalizado, rara vez improvisa una baja.
Cómo verificar que el proceso se cumple de verdad
Pedir estos entregables es el primer paso; verificar que se cumplen es el segundo. La forma de saberlo es auditar con pruebas concretas.
Prueba de alta. Crea un usuario ficticio sin funciones reales y cronometra: desde que envías la solicitud hasta que el equipo está listo y los accesos funcionan. Compara el tiempo real con el plazo pactado y revisa si el acta incluye fecha y responsable.
Prueba de baja. Elige una salida real del mes anterior y comprueba hoy si la cuenta sigue activa, si hay sesiones abiertas y si el dispositivo consta como devuelto. Es la verificación más incómoda y la más reveladora.
Revisión trimestral. Audita cuentas sin propietario claro, dispositivos sin asignar y aplicaciones donde los usuarios individuales se han multiplicado sin control, por ejemplo en la asignación de licencias de Microsoft 365 para empresas, donde conviene ajustar el plan a la plantilla real.
Contraste con lo pactado. Coteja el informe de servicio con los plazos comprometidos: cuántas bajas se cerraron tarde y qué medidas correctoras se aplicaron.
Guion para la reunión de revisión. Pregunta quién autoriza una baja, en cuánto tiempo se revoca un acceso, cómo se demuestra, qué ocurre si no se cumple el plazo y qué incluye exactamente el precio.
Con estas evidencias, la revisión deja de apoyarse en promesas.
Errores frecuentes al gestionar altas y bajas en una PYME
Si las comprobaciones anteriores fallan, casi siempre hay uno de estos cinco errores detrás.
Avisar de la salida el último día. Cuando el aviso llega con la persona ya fuera de la oficina, el proveedor trabaja contra reloj y es más probable que algún acceso quede abierto.
Desactivar solo el correo. El buzón se cierra, pero siguen en pie la VPN, los permisos en carpetas compartidas y las cuentas en aplicaciones externas. El caso parece cerrado y no lo está.
Cambiar la contraseña sin revocar sesiones ni tokens, un error ya descrito en la sección de bajas, que deja activos accesos durante semanas.
No reasignar licencias ni recuperar material. El dispositivo vuelve al inventario y se reutiliza sin borrado previo, con la información del usuario anterior dentro. Los asientos siguen pagándose igual.
Mantener cuentas compartidas y genéricas. Son cómodas, pero no tienen propietario identificable ni registro de uso. El día de la baja no hay una identidad que desactivar, solo una contraseña que circularon varias personas.
Qué hacer a partir de ahora con tu proveedor de IT
Conviene traducir esos errores en exigencias concretas antes de renovar contrato o confianza con tu proveedor de soporte técnico informático para empresas. Estas son las cinco que deberías plantear esta misma semana.
1. Pide el procedimiento por escrito. Solicita ese documento por escrito, tal como se detalla en la sección anterior.
2. Pacta la baja el mismo día. Define los términos por escrito y verifica con una baja real del mes pasado, como se explica más arriba, si el cierre fue completo.
3. Exige revisión periódica de licencias activas y de cuentas sin propietario claro. Es la partida que más ahorra sin comprometer la seguridad: elimina asientos vacíos y accesos heredados que nadie vigila.
4. Ten presente el marco legal. Una baja mal cerrada es una puerta abierta, y si deriva en incidente entran en juego la protección de datos y la posible notificación de brechas a la autoridad de control.
5. Si tu proveedor no compromete plazos ni demuestra el cierre con evidencias, ese proceso, y la responsabilidad que arrastra, sigue siendo tuyo.
Conclusion
Un alta y una baja no son trámites sueltos: son lotes de tareas IT con responsable, plazo y evidencia. Exige el procedimiento por escrito, pacta la revocación de accesos el mismo día de la salida y verifica con casos reales que las cuentas quedan deshabilitadas, las sesiones revocadas y los equipos devueltos. Recuerda además que una baja mal cerrada puede convertirse en un incidente notificable en materia de protección de datos.
Si tu proveedor no compromete plazos ni demuestra resultados con evidencias, esa responsabilidad sigue siendo tuya.
Empieza por una sola baja del mes pasado. Lo que encuentres te dirá mucho más que cualquier promesa.
