Cuando un empleado abandona una organización, suele haber una lista de tareas habitual que hay que seguir. Se devuelven los ordenadores portátiles, se actualiza la nómina, se llevan a cabo las entrevistas de salida y los responsables comienzan a planificar cómo se transferirán las tareas. En poco tiempo, todo el mundo ha pasado página y la atención se centra en cubrir la vacante.
Sin embargo, entre bastidores debería estar teniendo lugar otro proceso. Es necesario desactivar las cuentas de usuario, retirar los permisos, revisar el acceso a las unidades compartidas y actualizar las aplicaciones de terceros. Aunque estas tareas rara vez reciben el mismo nivel de atención que el proceso de RR. HH., son igual de importantes. Cada cuenta que se deja activa y cada permiso que se pasa por alto supone una oportunidad más de que la información confidencial caiga en manos equivocadas.
El proceso de baja de empleados suele considerarse una tarea administrativa, pero desde el punto de vista de la ciberseguridad es uno de los controles más importantes con los que cuenta una organización. La calidad de dicho proceso determina si los antiguos empleados se marchan llevándose consigo únicamente sus recuerdos, o si siguen teniendo acceso a los sistemas y a la información mucho tiempo después de haber abandonado la empresa.
El acceso tiende a ampliarse
La mayoría de los empleados no se incorporan a una organización con acceso a todos los sistemas que alguna vez necesitarán. Los permisos se van añadiendo gradualmente a medida que las personas cambian de puesto, se incorporan a proyectos, asumen responsabilidades adicionales o sustituyen a compañeros. A lo largo de varios años, es fácil que una persona acumule acceso a docenas de aplicaciones, carpetas compartidas y plataformas en la nube diferentes sin que nadie se detenga a revisar si todo ello sigue siendo necesario.
Un acceso excesivo u obsoleto supone un riesgo para la seguridad en cualquier momento, por lo que los permisos deben revisarse periódicamente. Cuando una persona abandona la empresa sin que se le retire su acceso, ese riesgo ya existente se agrava aún más.
Retirar el acceso suele ser mucho más complicado que concederlo, sobre todo en organizaciones que dependen de múltiples aplicaciones empresariales y herramientas de colaboración. Algunos permisos son fáciles de revocar, mientras que otros pasan fácilmente desapercibidos porque los gestionan equipos distintos o se encuentran fuera de los sistemas centrales de identidad.
Un estudio de IBM pone de relieve la importancia de este asunto. Su informe «El coste de una filtración de datos» reveló que las credenciales robadas o comprometidas constituían el vector de ataque inicial más habitual, responsable del 16 % de las filtraciones, lo que subraya el gran valor que tienen las cuentas legítimas para los atacantes. Si una cuenta no se ha desactivado correctamente, o si los permisos siguen vigentes después de que alguien abandone la empresa, esas credenciales pueden proporcionar una vía directa de acceso a la organización.
¿Qué ocurre cuando no se retira el acceso?
Las deficiencias en el proceso de salida suelen ser el resultado de varios pequeños descuidos que, por sí solos, parecen insignificantes, pero que se vuelven mucho más graves cuando se suman.
Es posible que se desactive una cuenta de Microsoft 365, pero se olvide el acceso a una plataforma de gestión de proyectos. Un colaborador externo finaliza su trabajo, pero su cuenta sigue activa porque nadie se acuerda de eliminarla. Se deja accesible un buzón compartido, o nunca se revocan los privilegios de administrador concedidos durante un proyecto de corta duración. Ninguna de estas situaciones es inusual, sobre todo en las grandes organizaciones, donde los empleados utilizan a diario docenas de sistemas diferentes.
Si un atacante consigue acceder a una de esas cuentas olvidadas, no tiene que sortear múltiples capas de seguridad. Inmediatamente adquiere todos los permisos que ese usuario aún posea, ya sea el acceso a documentos confidenciales, registros de clientes, sistemas financieros o comunicaciones internas. Lo que comenzó como una tarea rutinaria de baja de un empleado puede convertirse rápidamente en un incidente de seguridad mucho más grave.
Las amenazas internas no siempre son intencionadas
La expresión «amenaza interna» suele evocar la imagen de alguien que roba información de forma deliberada antes de abandonar una organización. Aunque esos incidentes se producen, no son más que una parte del panorama general.
Muchos riesgos internos surgen porque los procesos cotidianos no se han llevado a cabo correctamente. Es posible que un antiguo empleado siga teniendo acceso a una unidad compartida porque nunca se le retiraron los permisos, o que un colaborador temporal conserve el acceso a aplicaciones en la nube meses después de que haya finalizado un proyecto. En algunos casos, nadie se da cuenta siquiera de que una cuenta sigue existiendo hasta que se detecta una actividad inusual.
Eso es lo que hace que la gestión de la salida de empleados sea un aspecto tan importante de la ciberseguridad. El objetivo es garantizar que las personas solo tengan acceso a la información que realmente necesitan, y únicamente durante el tiempo que la necesiten.
La gestión de la salida de los empleados es una responsabilidad compartida
Los procesos de baja más eficaces reúnen a los departamentos de RR. HH., TI y seguridad, así como a los responsables directos, de modo que todos comprendan su función a la hora de retirar los accesos, proteger los datos y reducir riesgos innecesarios.
El departamento de RR. HH. suele ser el primero en enterarse de que alguien va a dejar la empresa, por lo que es fundamental que la comunicación se realice a tiempo. Los responsables son quienes mejor conocen los sistemas y la información a los que tiene acceso un empleado, mientras que los equipos de TI y de seguridad se encargan de desactivar cuentas, retirar permisos y comprobar que se ha revocado el acceso en todas las plataformas. Cuando estos equipos trabajan de forma aislada, es mucho más fácil que se pase algo por alto.
El reto se ha agravado aún más a medida que las organizaciones han ido adoptando más aplicaciones basadas en la nube. En la actualidad, los empleados utilizan una amplia gama de herramientas de colaboración, sistemas de gestión de relaciones con los clientes, plataformas financieras y software especializado, muchos de los cuales no se gestionan de la misma manera. Sin un proceso claro de baja, es fácil que las cuentas permanezcan activas porque nadie se ha dado cuenta de su existencia.
Cómo desarrollar mejores hábitos en la gestión de la salida de empleados
La tecnología puede automatizar algunas partes del proceso de baja, pero no puede sustituir a una buena gestión. Las organizaciones siguen necesitando una responsabilidad clara sobre el proceso de baja, procedimientos coherentes para la eliminación de cuentas y permisos, y revisiones periódicas de los accesos para garantizar que los privilegios de los usuarios sigan reflejando sus funciones y responsabilidades actuales.
Para ello, lo primero es comprender a qué pueden acceder los empleados. Las revisiones periódicas de los accesos ayudan a identificar los permisos que ya no son necesarios, mientras que mantener un inventario preciso de las aplicaciones facilita considerablemente la retirada de los accesos cuando alguien abandona la empresa. Los flujos de trabajo automatizados también pueden contribuir a garantizar que no se pasen por alto tareas, especialmente en organizaciones de mayor tamaño en las que intervienen varios equipos.
El proceso de baja no debería limitarse a una simple tarea que se lleva a cabo el último día de un empleado. Las revisiones periódicas de las cuentas inactivas, los usuarios con privilegios y los sistemas de terceros pueden permitir detectar cuentas que se hayan pasado por alto, lo que reduce la probabilidad de que un acceso olvidado se convierta en un problema de seguridad en el futuro.
Incorporar el proceso de salida de la empresa a su cultura de seguridad
Los empleados deben comprender por qué es importante la salida de la empresa y cómo unos procesos aparentemente rutinarios pueden tener repercusiones duraderas en materia de seguridad.
Los responsables deben ser conscientes de la importancia de informar sin demora al departamento de TI cuando alguien abandona la empresa. Los responsables de los proyectos deben revisar periódicamente quién tiene acceso a los espacios de trabajo compartidos y a las aplicaciones. Los empleados deben sentirse cómodos a la hora de señalar aquellas cuentas o permisos que ya no parezcan adecuados, especialmente tras cambios organizativos o proyectos de larga duración.
Fomentar esa concienciación ayuda a las organizaciones a dejar de considerar la salida de los empleados como un mero proceso administrativo. En su lugar, se convierte en otra forma de reducir las oportunidades de los atacantes y de proteger la información confidencial a lo largo de todo el ciclo de vida del empleado.
Ahí es donde la formación periódica en materia de concienciación sobre seguridad desempeña un papel fundamental. En lugar de basarse únicamente en las políticas, los empleados deben comprender cómo una comunicación deficiente, los permisos olvidados y los procesos de baja incompletos pueden generar riesgos reales para la seguridad.
«Cyber Police» es la serie de sensibilización cibernética con actores reales de MetaCompliance que da vida a las amenazas cibernéticas actuales a través de historias realistas ambientadas en el ámbito laboral. Mediante actores profesionales, personajes con los que es fácil identificarse y ataques dramatizados, muestra cómo procesos empresariales aparentemente rutinarios, como la baja de empleados, la gestión del acceso de los usuarios y la retirada de permisos, pueden brindar oportunidades a los ciberdelincuentes, y cómo pequeños descuidos pueden derivar rápidamente en graves incidentes de seguridad.
Al observar cómo se desarrollan esas situaciones en su contexto, los empleados comprenden mejor por qué cada fase del proceso de baja es importante y cómo sus propias acciones contribuyen a mantener la seguridad de la organización.
Cyber Police convierte la concienciación sobre seguridad en algo con lo que los empleados se comprometen de verdad
En lugar de basarse únicamente en la teoría, cada episodio sitúa a los espectadores en situaciones reales del ámbito laboral, mostrando cómo las decisiones cotidianas, la comunicación y los procesos empresariales pueden influir en el riesgo cibernético.
Esta serie, que abarca desde el phishing y el ransomware hasta las amenazas internas, los deepfakes y los ataques basados en la inteligencia artificial, fomenta el debate, refuerza los comportamientos seguros y ayuda a los empleados a aplicar lo aprendido en situaciones reales.
Visite nuestra página de «Cyber Police» para ver un episodio gratuito, explorar la serie completa o ponerse en contacto con nuestro equipo para implantar en su organización una formación sobre concienciación cibernética basada en historias.
Obtenga más información sobre Cyber Police y descubra cómo la formación en concienciación basada en historias ayuda a las organizaciones a desarrollar hábitos de seguridad duraderos que van más allá del mero cumplimiento normativo.
Preguntas frecuentes sobre la salida de la empresa
¿Qué es una amenaza interna?
Una amenaza interna es cualquier riesgo de seguridad que provenga de una persona con acceso legítimo a los sistemas o datos de una organización. Esto puede incluir a empleados actuales, contratistas, trabajadores temporales o antiguos empleados a los que aún no se les ha retirado el acceso. Si bien algunas amenazas internas son deliberadas, muchas se producen porque las cuentas, los permisos o los derechos de acceso se mantienen activos cuando ya no son necesarios.
¿Por qué es importante la gestión de la salida de empleados para la ciberseguridad?
La gestión de la salida del personal es algo más que un proceso de recursos humanos. Contribuye a garantizar que los empleados y los colaboradores externos dejen de tener acceso a los sistemas, las aplicaciones y los datos una vez que abandonan la organización. Si las cuentas permanecen activas o no se retiran los permisos, pueden convertirse en un blanco fácil para los atacantes o dar lugar a accesos no autorizados.
¿Cuáles son los riesgos que entrañan las cuentas de usuario inactivas?
Las cuentas inactivas pueden servir a los atacantes como vía de acceso a una organización si resultan comprometidas. Dado que estas cuentas suelen recibir menos atención que las de los usuarios activos, es posible que las actividades sospechosas pasen desapercibidas mientras los atacantes utilizan los permisos existentes para acceder a los sistemas, los datos o los recursos compartidos.
¿Cómo pueden las organizaciones mejorar su proceso de salida de empleados?
Un proceso de baja eficaz debe incluir la desactivación de las cuentas de usuario, la supresión del acceso a todos los sistemas de la empresa, la revisión de los permisos, la recuperación de los dispositivos de la empresa y la auditoría periódica de las cuentas inactivas.
Una comunicación clara entre los equipos de RR. HH., los responsables, TI y seguridad también contribuye a garantizar que no se pase nada por alto.
¿De qué manera ayuda Cyber Police a los empleados a comprender las amenazas internas?
«Cyber Police» utiliza historias realistas del ámbito laboral para mostrar cómo los procesos empresariales cotidianos pueden generar riesgos de seguridad. Al representar de forma dramática situaciones como cuentas olvidadas, una comunicación deficiente y un proceso de baja incompleto, los empleados comprenden mejor cómo surgen las amenazas internas y por qué los buenos hábitos de seguridad van más allá de la prevención de los correos electrónicos de phishing.