Desactivar una cuenta en el directorio (Entra ID / Active Directory) bloquea el inicio de sesión, pero no necesariamente las delegaciones, las reglas de reenvío, las aplicaciones OAuth ni la pertenencia a los canales de Teams que ese empleado había acumulado. Offboarding Express verifica con precisión qué sigue activo, más allá del directorio.
Una cuenta desactivada no equivale a un empleado totalmente desconectado de sus sistemas
Bloquear el inicio de sesión en el directorio detiene el acceso directo, pero las delegaciones que tenía sobre buzones compartidos o las reglas de reenvío que había configurado pueden seguir activas con independencia de la cuenta.
Un empleado ha podido autorizar aplicaciones de terceros (calendario, CRM, extensiones del navegador) que conservan acceso a los datos de la empresa con independencia de su cuenta de usuario.
La pertenencia a equipos, a canales y a los archivos compartidos asociados suele persistir mucho después del último día de trabajo, sin que ninguna alerta lo señale.
Sin un control sistemático en cada salida, estos accesos residuales se van apilando con los años y se convierten en puertas de entrada olvidadas, invisibles desde el directorio.
Un motor de verificación multivía, el mismo que el de la auditoría M365 de SYAGA, aplicado a la salida de un colaborador
Nombre del empleado que se ha ido (o que está en trámite de salida) y fecha prevista de cese de los accesos. No se requiere ninguna instalación por parte del cliente.
Nuestro motor consulta las vías de Microsoft Graph, Exchange Online, Teams y Purview para encontrar delegaciones en buzones compartidos, reglas de reenvío automático, consentimientos OAuth y pertenencias a canales de Teams.
Los identificadores sensibles se seudonimizan antes de cualquier análisis. Ningún dato en bruto se copia ni se conserva en nuestros servidores: solo se transmite la medición.
Recibe un informe que enumera cada zona verificada con su estado (cortado / activo / por verificar), así como las recomendaciones para cerrar definitivamente lo que sigue abierto.
Un informe concreto sobre el estado real de los accesos de una cuenta, más allá del estado que muestra el directorio
Estado detallado (cortado / activo / por verificar) de cada una de las zonas controladas en la cuenta afectada.
Rastro técnico de la verificación realizada, útil en caso de control interno o de incidente vinculado a una cuenta antigua.
Lista priorizada de las acciones que debe llevar a cabo el cliente para cortar definitivamente los accesos identificados como activos.
La gestión de los accesos a la salida de un colaborador figura en los marcos de seguridad habituales
Medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales. La revocación efectiva de los accesos de un empleado que se ha ido contribuye directamente a esta obligación de seguridad.
Las guías de higiene informática de la ANSSI recomiendan una gestión rigurosa de las cuentas y de los derechos de acceso, incluida su retirada completa cuando se marchan los colaboradores.
La gestión de los derechos de acceso a lo largo del ciclo de vida de un colaborador, incluida su retirada al finalizar el contrato, forma parte de los controles organizativos que cubre la norma.
Una revisión sistemática de los accesos residuales a la salida de un colaborador se inscribe en un enfoque general de gestión de los riesgos cibernéticos, sin constituir por sí sola una obligación reglamentaria específica.
Presupuesto personalizado en todos los casos - ningún precio mostrado aquí está fijado de antemano
Una salida aislada, bajo demanda
Salidas frecuentes, integradas en su proceso de RR. HH./TI
Multiinquilino, filiales, grandes volúmenes
Dos autoridades francesas regulan este tema: la ANSSI en seguridad informática y la CNIL en protección de datos. Esto es lo que dicen realmente, sin exageraciones.
No es una ley la que fija un plazo cifrado (no existe una obligación del tipo «48 horas para cortar los accesos»). Es una exigencia de resultado, respaldada por dos marcos oficiales: la salida o el cambio de puesto de un colaborador debe conllevar la revocación de sus accesos, sin demora injustificada. Un matiz importante que conviene tener presente para no confundir buena práctica recomendada con obligación legal.
La guía de higiene informática de la ANSSI (Agencia Nacional de Seguridad de los Sistemas de Información) dedica una medida entera a este tema, sin distinción de tamaño de empresa:
Existe incluso un dispositivo de acompañamiento gratuito («Aidant cyber») destinado específicamente a las estructuras sin servicio informático propio, es decir, a la mayoría de las microempresas y pymes.
La CNIL (Comisión Nacional de la Informática y de las Libertades) vincula este mismo tema con la protección de datos, en su ficha dedicada a la gestión de las habilitaciones:
Esta ficha se dirige a todo organismo que trate datos de carácter personal: en la práctica, toda empresa que tenga empleados, clientes o clientes potenciales en sus herramientas informáticas.
La medida n.º 6 de la guía enumera lo que debe cubrir como mínimo un procedimiento de salida (texto exacto):
La ANSSI recomienda un inventario actualizado de las cuentas con derechos ampliados (administrador, acceso a los directorios de otras personas), ya que son los objetivos preferidos de los atacantes:
En concreto: la cuenta de administrador del sitio web, de la mensajería profesional o del programa de contabilidad en línea merece una verificación sistemática en cada salida, incluso en una estructura pequeña.
Ni la ANSSI ni la CNIL fijan un plazo cifrado (no hay «48 horas» ni «7 días» legales). Ambos textos emplean una obligación de resultado: los derechos deben revocarse «cuando se marcha» (ANSSI) o «en cuanto» la persona deje de estar habilitada, y «al finalizar su contrato» como muy tarde (CNIL). Es una recomendación de seguridad y de protección de datos respaldada por dos autoridades oficiales, no un artículo de ley con una cifra precisa que cumplir. La CNIL recuerda además, como error que evitar: «olvidar suprimir las cuentas de usuario de las personas que han abandonado la organización o que han cambiado de función.»
Más allá del principio general, estas son las acciones precisas que se esperan, quién las valida y con qué ritmo, tal como las describen los textos oficiales.
La ANSSI recomienda definir un procedimiento de salida formal, en coordinación con recursos humanos, que cubra como mínimo:
La CNIL vincula la revocación de los accesos con su ficha dedicada a la gestión de las habilitaciones, que precisa que toda asignación de derechos debe haber sido validada por un responsable:
En una estructura pequeña sin servicio informático propio, este papel recae en la práctica en el directivo o en la persona que gestiona los accesos a las herramientas digitales de la empresa.
Es la única cadencia cifrada que se ha encontrado en los textos oficiales consultados: la CNIL recomienda una revisión periódica de las habilitaciones, con una frecuencia mínima precisa:
Esta revisión permite, entre otras cosas, detectar los accesos olvidados tras la salida de un colaborador, los que se han escapado entre las mallas de la red durante el procedimiento de salida.
El RGPD impone al responsable del tratamiento tomar «todas las precauciones útiles» para preservar la seguridad de los datos (artículo 32). Es una obligación legal real, pero formulada en términos de medidas apropiadas: no indica, por sí misma, el procedimiento que seguir a la salida de un empleado. Son las recomendaciones de la ANSSI y de la CNIL expuestas arriba las que dan el modo de empleo concreto.
Ningún texto impone un plazo en horas para cortar los accesos de un empleado que se ha ido: ni «48 h», ni «24 h» legales. En cambio, existen dos exigencias precisas y con fuente: revocar los accesos «cuando se marcha», sin esperar (ANSSI), y revisar el conjunto de las habilitaciones al menos una vez al año (CNIL) para recuperar lo que se hubiera olvidado. Ese doble control, inmediato tras cada salida y verificable a lo largo del tiempo, es lo que propone Offboarding Express.
Respuestas sencillas, cada una respaldada por una fuente oficial verificable (ANSSI, CNIL)
Sobre este tema no existe un único artículo de ley que lo enumere todo. Son dos autoridades francesas, la ANSSI para la seguridad informática y la CNIL para la protección de datos, las que publican recomendaciones oficiales. Esto es lo que dicen realmente, sin exageraciones.
Contáctenos para recibir un presupuesto personalizado.