Altas y bajas de empleados sin agujeros: cómo gestionar identidades y accesos

Las cuentas de personas que ya no trabajan en la empresa son una de las puertas más fáciles para un atacante. Nadie las vigila, conservan permisos y a veces sus contraseñas siguen en algún correo o en una libreta. Esta guía explica qué hacer en cada alta, cambio y baja de un empleado, qué relación tiene con NIS2 y con la ISO 27001, y cómo se apoya todo en Microsoft 365.

Qué es la gestión del ciclo de vida de las identidades

Es el proceso que controla qué accesos tiene cada persona desde que entra en la empresa hasta que se va. Microsoft lo divide en tres momentos en su documentación de flujos de trabajo del ciclo de vida de Entra ID:

• Alta: la persona empieza y necesita sus accesos desde el primer día.
• Cambio de puesto: pasa de un departamento a otro y necesita permisos nuevos, pero también perder los que ya no le corresponden.
• Baja: deja la empresa, se jubila o sale con una baja larga, y sus accesos tienen que retirarse a tiempo.

El fallo más habitual no está en las altas, que todo el mundo cuida porque la persona las reclama. Está en los cambios de puesto, donde los permisos se acumulan, y en las bajas, donde nadie pide que se cierre nada.

Qué pide NIS2 sobre altas, bajas y accesos

La Directiva (UE) 2022/2555, conocida como NIS2, obliga a las entidades esenciales e importantes a aplicar medidas de gestión de riesgos de ciberseguridad. En su artículo 21.2 incluye, entre esas medidas, la seguridad de los recursos humanos, las políticas de control de acceso y la gestión de activos, además del uso de autenticación multifactor cuando proceda.

En España, la ley que traspone NIS2 sigue en tramitación: el Gobierno aprobó el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad en enero de 2025 y, a fecha de noviembre de 2026, no se ha publicado en el BOE. Mientras tanto sigue vigente el Real Decreto-ley 12/2018, que traspuso la primera directiva NIS. Si quieres saber si tu empresa entra en el ámbito, lo explicamos en qué es NIS2 y a qué empresas obliga

Aunque tu empresa no esté obligada, si eres proveedor de una que sí lo está, es probable que te pidan demostrar cómo controlas los accesos de tu personal.

Checklist de baja de un empleado: qué cerrar y en qué orden

La baja debe ejecutarse el último día de trabajo, o antes si la salida no es amistosa. Microsoft describe en su guía para revocar el acceso de un usuario en Entra ID los pasos técnicos. Adaptados a una pyme, quedan así:

1. Deshabilitar la cuenta en Entra ID, y también en el Active Directory local si la empresa tiene uno sincronizado.
2. Revocar las sesiones abiertas. Deshabilitar la cuenta impide iniciar sesión de nuevo, pero los accesos ya concedidos pueden seguir activos un tiempo si no se revocan.
3. Deshabilitar o borrar los dispositivos. Con Intune puedes restablecer un equipo de empresa o borrar solo los datos corporativos de un móvil personal.
4. Quitar permisos y grupos: carpetas de SharePoint, equipos de Teams, buzones compartidos, aplicaciones y el ERP.
5. Revisar las aplicaciones que no dependen de Entra ID: banca online, portales de proveedores, redes sociales, herramientas con usuario propio. Aquí es donde más cuentas se olvidan.
6. Conservar el correo y los archivos. Microsoft permite convertir el buzón en un buzón compartido para que el responsable siga recibiendo los mensajes. Lo contamos en cuándo usar un buzón compartido.
7. Cambiar las contraseñas compartidas que conocía la persona: wifi de invitados, cuentas genéricas, cajas fuertes de contraseñas. Un gestor de contraseñas de empresa facilita saber cuáles eran.
8. Recuperar el material: portátil, móvil, llaves, tarjetas de acceso y tokens.
9. Dejar constancia de quién hizo cada paso y cuándo. Es lo que te pedirá cualquier auditoría.

Altas y cambios de puesto: dar solo lo necesario

En el alta, la regla es el mínimo privilegio: cada persona recibe los accesos de su función, no los de su antecesor ni los de un compañero. La forma práctica de hacerlo es trabajar con grupos por departamento o rol, de modo que dar de alta a alguien sea añadirle a su grupo y no ir permiso por permiso.

Las altas son también el momento de activar desde el primer día la autenticación multifactor y de que el equipo llegue ya gestionado por Intune. En los cambios de puesto, el paso que se olvida es quitar. Si alguien pasa de compras a ventas, tiene que perder el acceso a proveedores, no sumar el de clientes al que ya tenía.

Cómo se automatiza con Microsoft Entra ID

Con Microsoft Entra ID como directorio central, buena parte de este proceso deja de depender de la memoria de alguien:

• Grupos y licencias por grupo: al entrar o salir de un grupo, la persona gana o pierde accesos y licencias.
• Flujos de trabajo del ciclo de vida: automatizan tareas de alta y baja, como deshabilitar cuentas en una fecha. Según Microsoft, requieren licencia de Microsoft Entra ID Governance o Microsoft Entra Suite.
• Revisiones de acceso: piden periódicamente a cada responsable que confirme si su equipo sigue necesitando los permisos que tiene. Microsoft las describe en revisiones de acceso de Entra ID.
• Acceso condicional: bloquea inicios de sesión desde dispositivos no gestionados o en situaciones de riesgo. Lo explicamos en acceso condicional en Microsoft 365.

No todas las empresas necesitan licencias de gobierno de identidades. Una pyme con pocas altas al año puede cubrirlo con grupos bien diseñados, un procedimiento escrito y una revisión trimestral. Lo importante es que el proceso exista y se cumpla siempre.

Relación con la ISO 27001

Si tu empresa trabaja con la ISO 27001:2022, este proceso aporta evidencias para varios controles del Anexo A, entre ellos el 5.16 (gestión de identidades), el 5.18 (derechos de acceso), el 5.11 (devolución de activos), el 6.5 (responsabilidades tras la finalización o cambio de empleo) y el 8.2 (derechos de acceso privilegiado). En ISO 27001 con Microsoft 365 repasamos qué cubre cada herramienta.

Qué hacemos en 3L Systems

En gestión de identidades y accesos configuramos Entra ID, MFA, acceso condicional e Intune, y dejamos por escrito el procedimiento de altas, cambios y bajas adaptado a tu empresa, para que cualquier persona del equipo pueda seguirlo y quede registro de cada paso.