Entró Alguien, Se Fue Alguien: el Checklist de Altas y Bajas de TI

Un lunes llega la persona nueva y no tiene correo, ni equipo, ni acceso a la carpeta de su área. Ese mismo día, la persona que se fue el viernes todavía puede entrar a su correo desde el celular. Las dos cosas pasan en la misma empresa y tienen la misma causa: nadie es dueño de las altas y bajas de TI.

En la mesa de servicio de SCRAM, entre abril y octubre de 2026, contamos al menos 14 tickets que en el fondo eran "entró o salió alguien": crear usuarios y correos, quitar el correo de quien se fue, pasar un buzón a otra persona, corregir el nombre que aparecía en una cuenta o preparar el equipo de quien llega. Ninguno es difícil. El problema es cuándo llegan: muchas veces, cuando la persona nueva ya está esperando o cuando alguien nota un acceso que no debía existir.

Resumen ejecutivo

• Las altas y bajas de TI son un proceso, no un favor: necesitan un dueño y un aviso de Recursos Humanos con fecha.
• En una alta se preparan cuenta, correo, licencias, accesos a carpetas y equipo antes del primer día.
• En una baja se bloquea el acceso el mismo día, se conserva la información y se recuperan equipo y licencias.
• Microsoft documenta siete pasos para dar de baja a un empleado en Microsoft 365; el buzón se conserva 30 días tras quitar la licencia.
• Una cuenta activa de alguien que ya no trabaja contigo es una puerta abierta que nadie vigila.

¿Por qué importa cerrar las cuentas el mismo día?

Porque una cuenta de alguien que ya no está es un acceso que nadie vigila. Si su contraseña se filtró, quien la tenga entra como empleado, con sus permisos y sin levantar sospechas. Y la persona que salió puede seguir leyendo correos de clientes desde su celular.

El riesgo de las credenciales no es teórico. El Data Breach Investigations Report 2026 de Verizon ubica el abuso de credenciales como vía de entrada en 13% de las brechas que analizó, y encuentra el factor humano en 62% de ellas. Cerrar a tiempo las cuentas que ya no se usan es de las medidas más baratas que existen.

¿Qué hay que preparar cuando entra alguien?

Antes del primer día: usuario y correo con su nombre correcto, licencia de las aplicaciones que va a usar, acceso solo a las carpetas y sistemas de su puesto, equipo listo con respaldo y antivirus, y la autenticación en dos pasos activada desde el inicio. Si el equipo se recicla de alguien más, se formatea antes de entregarlo.

El error que más vemos es reutilizar el buzón de la persona anterior sin cambiar los datos: el correo sale con el nombre de quien ya se fue y los clientes no saben con quién hablan. Si el buzón se conserva por continuidad, se convierte en buzón compartido y la persona nueva recibe su propia cuenta.

¿Qué hay que hacer cuando alguien se va?

Bloquear el acceso el mismo día, conservar su correo y archivos para quien lo sustituye, borrar los datos de la empresa de su celular, redirigir su correo o convertir el buzón en compartido y, al final, liberar la licencia. Es el orden que recomienda la guía de Microsoft para dar de baja a un empleado.

Un detalle que esa guía deja claro y que pocos conocen: cuando se quita la licencia, el correo, los contactos y el calendario se conservan 30 días y después se borran para siempre. Si nadie respaldó o reasignó ese buzón en ese plazo, la información se pierde.

El checklist que usamos

Momento	Tarea	Quién la dispara
Alta, una semana antes	Aviso de Recursos Humanos con nombre, puesto y fecha de ingreso	Recursos Humanos
Alta, antes del primer día	Cuenta, correo, licencias, carpetas y sistemas según el puesto	TI o la mesa de servicio
Alta, antes del primer día	Equipo formateado, con respaldo, antivirus y autenticación en dos pasos	TI o la mesa de servicio
Baja, el mismo día	Bloquear el inicio de sesión y cambiar la contraseña	TI, con aviso de Recursos Humanos
Baja, primera semana	Respaldar o reasignar correo y archivos; redirigir el correo o convertir el buzón en compartido	TI y el jefe del área
Baja, primera semana	Borrar los datos de la empresa del celular y recuperar equipo, llaves y tarjetas de acceso	TI y Administración
Baja, al cerrar	Liberar la licencia y documentar qué se hizo	TI

Mi postura: la tarea técnica es lo de menos. Lo que falla es el aviso. Si Recursos Humanos no avisa con fecha, TI se entera cuando la persona nueva ya está sentada sin equipo, o nunca, en el caso de una baja.

¿Y si mi empresa no tiene área de TI?

Entonces el dueño del proceso es quien administre tu correo y tus equipos, interno o externo. Lo importante es que exista un solo lugar donde se pide una alta o una baja y quede registro de lo que se hizo. En nuestras pólizas, cada alta y cada baja es un ticket: así queda claro quién tiene acceso a qué y desde cuándo.

Para que el día de la baja no dependa de la memoria de alguien, también ayuda que las contraseñas críticas no vivan en la cabeza de una sola persona. Lo explicamos en qué pasa cuando tu ingeniero de sistemas renuncia y en MFA y gestión de contraseñas.

Si quieres revisar quién tiene acceso hoy a tus sistemas, agenda una revisión de cuentas y accesos en scram.com.mx: te entregamos la lista de cuentas activas, licencias asignadas y buzones sin dueño. Para el contexto completo, lee el checklist de ciberseguridad para pymes.