Automatizar altas y bajas de empleados en una pyme: permisos, seguridad y trazabilidad

Cuando una pyme incorpora o desvincula a alguien, intervienen correo, identidad cloud, VPN, aplicaciones, repositorios, dispositivos y grupos de acceso. Resolverlo con mensajes sueltos y una lista informal deja huecos: cuentas que siguen activas, licencias que se pagan sin necesidad, archivos sin propietario o permisos que nadie recuerda haber concedido. Automatizar ayuda, pero solo si el proceso tiene reglas y responsables claros.

La fuente debe ser un registro autorizado de personal, no un correo reenviado. El evento de alta debe incluir fecha de inicio, equipo, puesto, responsable y aplicaciones necesarias. El evento de baja debe incluir fecha y hora, tipo de salida, custodio de la información y autorización para revocar sesiones. Si faltan datos, el flujo debe detenerse y pedir revisión, no inventar valores ni conceder acceso amplio.

• Definir quién puede solicitar y aprobar un alta o una baja
• Usar perfiles de acceso por puesto en lugar de permisos manuales acumulativos
• Crear cuentas con MFA y sin privilegios administrativos por defecto
• Registrar cada concesión, cambio, revocación y excepción
• Revocar sesiones, tokens, claves y accesos de terceros en una baja
• Asignar propietario a buzones, documentos, repositorios y automatizaciones
• Conservar evidencias sin guardar contraseñas ni secretos en hojas de cálculo

Un buen onboarding entrega lo que la persona necesita para su función y nada más. El perfil puede crear grupos y licencias, pero las aplicaciones sensibles deberían requerir aprobación adicional. También conviene introducir caducidad o revisión para accesos temporales. Así el flujo no se convierte en una puerta permanente que nadie vuelve a revisar.

• Separar la cuenta que solicita el proceso de la cuenta técnica que ejecuta cambios
• Limitar la automatización a los sistemas que necesita y registrar sus errores
• Requerir aprobación humana para excepciones, perfiles sensibles y cuentas privilegiadas
• Revisar mensualmente altas, bajas atascadas y accesos concedidos fuera de perfil
• Probar el flujo con una identidad de laboratorio antes de cambiar producción

Las señales útiles son operativas: bajas completadas, bajas pendientes, cuentas sin propietario, accesos fuera de perfil, errores de sincronización y tiempo hasta la revocación. El objetivo no es automatizar por automatizar, sino reducir decisiones olvidadas y hacer demostrable quién hizo cada cambio.