Alta y baja de empleados: checklist de equipos, cuentas y accesos

Dónde suelen fallar las altas y bajas en una oficina

En una asesoría, una clínica, un despacho profesional o una inmobiliaria de entre cinco y cuarenta personas, la parte laboral de una contratación o de un finiquito lleva un orden estricto: contrato firmado, alta o baja en la Seguridad Social, prevención de riesgos y liquidación de vacaciones. Con los ordenadores y las cuentas informáticas pasa justo lo contrario. Como no hay un responsable de sistemas en plantilla, todo se resuelve sobre la marcha la misma mañana en que entra la persona nueva o dos semanas después de que se haya marchado.

En las incorporaciones, la improvisación se nota a las nueve de la mañana del lunes: la persona recién llegada se sienta frente al PC-LABORAL-03, nadie recuerda el PIN de Windows del empleado anterior, hay que buscar un ratón por los cajones, su buzón de correo todavía no existe y para que pueda ir trabajando se le abre la sesión con el usuario de un compañero. Ese parche temporal se queda así meses y, a partir de ese día, no sabes quién modificó un fichero ni quién envió un correo desde esa cuenta.

En las salidas el problema es económico y de seguridad. Cuando alguien causa baja un viernes y nadie sigue una lista de cierre, suelen quedar tres cabos sueltos durante meses:

• Accesos abiertos desde el móvil o desde casa. Aunque el empleado entregue las llaves de la calle y el portátil encima de la mesa, su sesión de correo, OneDrive, SharePoint o la aplicación web del programa de gestión siguen activas en su teléfono personal y en el navegador de su ordenador doméstico si no se revocan los tokens de sesión.
• Suscripciones que se siguen pagando. Por miedo a perder los correos antiguos o los documentos guardados en la nube de ese usuario, gerencia deja la cuenta intacta en el panel de Microsoft 365. Seis meses después sigues pagando la cuota mensual de tres personas que ya no están en la empresa.
• Material sin reclamar o bloqueado con cuentas personales. Quedan en casa del trabajador el segundo cargador USB-C, el monitor externo que se llevó para teletrabajar en verano o un teléfono móvil devuelto con la cuenta personal de Apple ID o de Google activada, lo que impide volver a usarlo hasta que el antiguo empleado quiera quitar el bloqueo.

Checklist interactiva para el primer día y para la salida

Puedes usar esta lista en pantalla cada vez que entre o salga alguien en la oficina. Marca las casillas conforme vayas completando cada paso para comprobar qué te falta antes de dar por cerrado el expediente (no guarda ningún dato fuera de tu navegador; al recargar la página vuelve a cero).

Cómo preparar el puesto y las cuentas antes del primer día

Si sabes un miércoles que el lunes siguiente se incorpora una persona a contabilidad o a recepción, reservar treinta minutos el jueves por la tarde evita toda la fricción de la primera mañana. Lo primero es comprobar en tu inventario de equipos informáticos qué máquina de reserva está disponible en el armario o qué sobremesa va a ocupar.

1. Equipo limpio y sesión de usuario sin privilegios de administrador

Nunca sientes a un trabajador nuevo sobre la sesión de Windows o de macOS que usaba la persona anterior, cambiando solo el fondo de pantalla. En esa cuenta suelen quedar documentos antiguos en la carpeta Descargas, sesiones recordadas en el navegador y historiales que no le corresponden. En Windows 11, entra en Configuración › Cuentas › Otros usuarios (o intégralo mediante tu cuenta de organización de Entra ID / Microsoft 365) y crea un perfil nuevo. En macOS, haz lo mismo desde Ajustes del Sistema › Usuarios y grupos › Añadir usuario.

Salvo que la persona necesite instalar controladores específicos a diario, su cuenta cotidiana debe ser de tipo Usuario estándar y no Administrador local. Así impides que un clic accidental en un adjunto malicioso instale programas en segundo plano o desactive la protección del sistema. Aprovecha ese momento para comprobar que el cifrado de disco (BitLocker en Windows Pro o FileVault en Mac) sigue activo y que los programas propios del puesto (el módulo fiscal, el visor de radiografías, el lector de certificados o el cliente de telefonía) abren sin pedir credenciales de otro compañero.

2. Correo nominal, buzones compartidos y permisos de carpetas

En el Centro de administración de Microsoft 365 (admin.microsoft.com), ve a Usuarios › Usuarios activos › Agregar un usuario. Asígnale una licencia (por ejemplo, Microsoft 365 Empresa Estándar o Empresa Básico si solo usa correo y web) y comprueba en la sección de control de licencias de software si ya tenías alguna plaza libre de una baja anterior antes de comprar una nueva.

Si en la oficina usáis direcciones genéricas como administracion@tuempresa.es, facturas@ o recepcion@, no le pases la contraseña de ese correo en un papel. Configura esa dirección como Buzón compartido en Microsoft 365 y añade al nuevo empleado como miembro con permisos de «Leer y administrar» y «Enviar como». De esa forma, el buzón aparecerá automáticamente debajo de su cuenta en Outlook sin necesidad de contraseña y, cuando esa persona deje la empresa, bastará con sacarla del grupo.

Haz lo mismo con las carpetas de red o los sitios de SharePoint: apóyate en grupos por departamento (por ejemplo, grupo Laboral o grupo Clínica-Recepción) en vez de dar permisos usuario por usuario en cuarenta subcarpetas sueltas. Si la persona no tiene por qué consultar las nóminas de sus compañeros ni la facturación de gerencia, su usuario no debe tener lectura en la carpeta de Dirección.

3. Contraseñas del puesto, llaves y hoja de entrega

En todas las oficinas existen portales de proveedores, mutuas, colegios profesionales o bancos donde todavía se entra con unas credenciales de departamento. En lugar de mandar esas contraseñas por WhatsApp o apuntarlas en una libreta junto al monitor, compártelas mediante una colección de grupo en un gestor de contraseñas empresarial. Y en la parte física, apunta en la misma ficha del empleado qué juego de llaves se lleva (portal, puerta blindada, archivo), qué código individual de alarma se le ha dado de alta y hazle firmar una hoja de entrega de material donde figure el modelo y número de serie de su portátil (por ejemplo, PORT-FISCAL-04).

Qué revocar el mismo día que alguien deja la empresa

Tanto si la salida es voluntaria y amistosa como si se trata de un despido, el corte de accesos debe hacerse el mismo día a la hora en que termina la relación laboral. No hace falta borrar nada en ese instante; de hecho, borrar una cuenta el primer día suele ser un error porque puedes perder correos o archivos que nadie había revisado aún. Lo que sí debes hacer en el acto es impedir que se sigan abriendo sesiones nuevas o que las sesiones abiertas en su teléfono sigan sincronizando datos.

En el Centro de administración de Microsoft 365, el proceso completo lleva menos de dos minutos siguiendo este orden en Usuarios › Usuarios activos al pulsar sobre el nombre del empleado:

1. Bloquear el inicio de sesión. Pulsa en «Bloquear este usuario» y marca la casilla «Impedir que el usuario inicie sesión». En pocos minutos ya no podrá autenticarse con su contraseña en ningún servicio conectado.
2. Cerrar sesión en todos los dispositivos. Justo al lado, en la pestaña «Cuenta», pulsa en «Cerrar sesión en todas las sesiones». Este paso es importante porque invalida los tokens activos en la app de Outlook del móvil, en Teams, en OneDrive y en los navegadores donde hubiera marcado «Mantener la sesión iniciada».
3. Revocar accesos externos, certificados y VPN. Si tenéis acceso remoto a la oficina por VPN (FortiGate, WireGuard, OpenVPN en el router) o mediante una herramienta de escritorio remoto para los días de teletrabajo con portátiles de empresa, deshabilita su perfil de inmediato, desactiva su usuario en el software contable, fiscal o de gestión de clínica y revoca las autorizaciones nominales en Sistema RED, LexNET o sedes electrónicas.
4. Cambiar las contraseñas compartidas inevitables y anular el código de alarma. Si en la oficina hay algún portal de proveedor, sede administrativa o red wifi cuyo acceso era una contraseña única conocida por todo el departamento, cámbiala esa misma tarde y actualiza el gestor de contraseñas del equipo. A la vez, recoge las llaves físicas y borra su código personal en el teclado de la alarma.

Qué hacer con el correo, los archivos y el portátil devuelto

Una vez bloqueado el acceso urgente, tienes margen durante los días siguientes para ordenar la información del puesto y ahorrar costes sin perder ni un solo correo histórico.

Conservar el correo y poner reenvío sin seguir pagando la licencia

En lugar de mantener activa la suscripción de pago de un exempleado solo para leer los mensajes que sigan entrando a su dirección, Microsoft 365 permite convertir su cuenta en un buzón compartido gratuito (siempre que ocupe menos de 50 GB). El procedimiento desde el panel de administración es el siguiente:

• Con la licencia todavía puesta, entra en el usuario, ve a la pestaña Correo y pulsa en Convertir en buzón compartido.
• En esa misma pestaña, entra en Reenvío de correo y activa el reenvío hacia la cuenta del compañero que asuma sus clientes o hacia gerencia. Si quieres que otra persona pueda consultar los correos antiguos desde su propio Outlook, añádela en «Permisos de buzón de correo › Leer y administrar».
• Si procede por política de empresa y protección de datos, configura una respuesta automática informando de que esa persona ya no forma parte de la organización e indicando el nuevo correo de contacto del departamento.
• Por último, ve a la pestaña Licencias y aplicaciones, desmarca la licencia de Microsoft 365 y guarda los cambios. El buzón, sus carpetas y el reenvío seguirán funcionando sin consumir cuota mensual.

Si administras varias bajas a la vez y prefieres comprobar desde PowerShell qué buzones de tu organización siguen siendo de usuario normal o cuáles ya están convertidos en compartidos, puedes consultarlo con el módulo de Exchange Online:

Get-EXOMailbox -ResultSize Unlimited | Select-Object DisplayName, UserPrincipalName, RecipientTypeDetails

Traspaso de OneDrive y revisión física del equipo

Antes de eliminar definitivamente un usuario o al quitarle la licencia, entra en la pestaña OneDrive de su ficha de administración y pulsa en «Crear vínculo a los archivos». Copia todas las carpetas de trabajo relevantes al sitio de SharePoint del departamento para que no se eliminen pasados los treinta días de retención automática. Haz también un repaso rápido a las carpetas locales del ordenador (Escritorio, Documentos y Descargas) por si el empleado guardaba presupuestos o plantillas fuera de la nube.

Con el portátil, el teléfono móvil o la tableta encima de la mesa, revisa tres puntos antes de firmar el recibí de devolución de material: que estén el cargador original, el maletín y los adaptadores o llaves USB (tokens criptográficos, lectores de tarjeta sanitaria o colegial); que la pantalla, las bisagras y el teclado no tengan golpes ocultos; y, en caso de equipos Apple (MacBook, iPhone, iPad), que se haya cerrado la sesión de iCloud / Buscar mi Mac del empleado. Si luego el equipo se va a retirar o reasignar a otro departamento, aplica un borrado seguro del disco conforme al RGPD o elimina el perfil local y actualiza la ficha en el inventario pasando su estado a «En almacén».

Qué piden la ISO 27001, el ENS y el RGPD en las altas y bajas

Cuando una pyme se presenta a una auditoría de ISO/IEC 27001:2022 o necesita acreditar conformidad con el Esquema Nacional de Seguridad (ENS, Real Decreto 311/2022) para contratar con la Administración pública o con clientes corporativos, el procedimiento de altas, cambios de puesto y bajas de personal es uno de los puntos que se revisan con más detalle. En el Anexo A de ISO/IEC 27001:2022 se exige gestionar de forma documentada la concesión y retirada de permisos en 5.15 control de acceso y 5.18 derechos de acceso, reforzar la entrada mediante 8.5 autenticación segura, recuperar los ordenadores, teléfonos y llaves al finalizar el contrato según 5.11 devolución de activos (apoyado en el 5.9 inventario de información y otros activos asociados y en 5.10 uso aceptable) y mantener vigentes los acuerdos de reserva de información en 6.5 responsabilidades tras el cese o cambio de empleo. En paralelo, el RGPD (art. 32 seguridad del tratamiento) y la LOPDGDD (Ley Orgánica 3/2018) obligan a garantizar que únicamente el personal autorizado y en activo tenga acceso a los datos personales de clientes, pacientes o trabajadores.

En el marco del ENS (que aplica en categorías BÁSICA, MEDIA y ALTA al sector público y a las empresas privadas que le prestan servicios o soluciones), la medida op.acc.4 proceso de gestión de derechos de acceso obliga a registrar cada alta, modificación de funciones o baja y a deshabilitar de inmediato las credenciales de quien deja el puesto. Esta medida se complementa con op.acc.6 mecanismo de autenticación (usuarios de la organización) para evitar cuentas compartidas sin trazabilidad, con op.exp.1 inventario de activos para saber qué equipamiento tiene asignado cada trabajador y con mp.si.5 borrado y destrucción (junto al control 7.14 eliminación o reutilización segura de equipos de ISO 27001) antes de entregar ese portátil a la siguiente incorporación.

En una auditoría real no basta con afirmar verbalmente que se cierran las cuentas al marchar un empleado: el auditor suele pedir la lista de bajas laborales del último año y cruzarla con los usuarios activos en Microsoft 365, el ERP y la VPN para comprobar que no quedan sesiones abiertas, licencias asignadas a antiguos trabajadores ni portátiles sin localizar. Ten en cuenta que la certificación oficial la emite siempre una entidad acreditada por ENAC en España; en Inventariamos no certificamos ni auditamos, sino que ayudamos a preparar y mantener al día las evidencias técnicas de inventario, copias, accesos e incidencias según el alcance acordado con cada oficina.

Fuentes oficiales

• Microsoft 365 para empresas (documentación oficial)
• Reglamento General de Protección de Datos (RGPD)
• ISO/IEC 27001
• Real Decreto 311/2022, Esquema Nacional de Seguridad

Cómo lo hacemos en Inventariamos

En las oficinas que gestionamos desde Inventariamos, las altas y las bajas se piden con un solo aviso: cuando entra alguien nuevo, preparamos en remoto su usuario, sus carpetas, su correo y sus buzones compartidos, y vinculamos el ordenador asignado a su nombre en el panel de Inventariamos; cuando alguien sale de la empresa, bloqueamos sus sesiones en el minuto pactado, convertimos su buzón para que no pierdas el histórico ni sigas pagando la licencia sin uso y dejamos el equipo listo para el siguiente compañero. Puedes ver cómo llevamos la gestión diaria en Microsoft 365 y licencias, asomarte a la app de inventario de equipos o escribirnos directamente en Contacto.