Respuesta rápida
La mayoría de los checklists de baja confirman la parte de RR.HH. — último pago, beneficios, entrevista de salida — sin confirmar nunca si la laptop realmente volvió o si el acceso fue revocado por completo. Ahí está la brecha donde el hardware y las cuentas siguen existiendo después de que la persona ya se fue.
- 71% de los profesionales de RR.HH. reportan al menos un caso de equipo no devuelto por un ex empleado
- El abuso de credenciales todavía aparece en el 39% de las brechas, más que cualquier otra técnica aislada
- Los incidentes de riesgo interno costaron en promedio US$ 19,5 millones al año por empresa en 2025
La entrevista de salida ocurre. La credencial se desactiva. RR.HH. cierra el caso.
En algún punto de esa secuencia, una laptop debería volver a TI, y todo login ligado a esa persona debería dejar de funcionar.
La mayoría de las veces eso ocurre, más o menos, eventualmente.
A veces el equipo pasa meses en un cajón en la casa de alguien, todavía conectado a tres sistemas que nadie pensó en revisar.
Nadie lo planeó así. Es lo que pasa cuando la baja es un checklist y no un proceso con un responsable.
Lo que el checklist de salida no verifica
La mayoría de los checklists de baja se construyeron alrededor de la parte de RR.HH. — último pago, beneficios, entrevista de salida. La parte de TI suele resumirse en una sola línea: revocar el acceso. Casi nunca hay un paso de verificación detrás de eso.
El equipo recibe el mismo trato. Una laptop se marca como «devuelta» en el momento en que alguien dice que la va a devolver, no cuando realmente llega a manos de TI.
Una cuenta no deja de existir cuando alguien deja la empresa
Se asume que revocar el acceso es instantáneo. En la práctica, depende de que alguien abra un ticket, y de que TI realmente lo cierre, en ese orden.
El Informe de Investigaciones de Brechas de Datos 2026 de Verizon encontró que el abuso de credenciales todavía aparece en algún punto de la cadena del ataque en el 39% de los casos — más que cualquier otra técnica aislada en el estudio, incluso con el acceso inicial directo por credenciales a la baja.
El Informe Global de Costo de Riesgos Internos 2026 del Ponemon Institute situó el costo anual promedio de los incidentes de riesgo interno en US$ 19,5 millones en 2025. Los incidentes relacionados con credenciales fueron la categoría más cara, con un promedio de US$ 842.462 cada uno — frente a US$ 779.707 el año anterior.
Una cuenta o un dispositivo que sigue existiendo después de su dueño no necesita mala intención para causar daño. Un script programado que todavía corre bajo un token que nadie revocó ya alcanza para generar un hallazgo de auditoría, con o sin intención de perjudicar.
Lo que queda invisible cuando alguien se va
La laptop que nunca se registra como faltante
Si nadie registra la fecha en que el equipo debía volver, una laptop faltante no genera ninguna alerta. Aparece, si es que aparece, como sorpresa en la próxima auditoría de hardware.
El login que nadie pensó en revisar
Una cuenta puede existir en decenas de aplicaciones fuera del alcance del proveedor de identidad — una herramienta SaaS pagada con tarjeta personal, una hoja de cálculo compartida, una exportación del CRM. RR.HH. cierra el caso sin forma de saber que esa lista existe.
El dato que salió antes que la despedida
Un respaldo local, una carpeta sincronizada, una captura de una lista de clientes — todo eso puede salir de la empresa semanas antes que la carta de renuncia, sin que haya ningún dispositivo de por medio.
Un checklist de salida dice que alguien se fue. No dice qué se fue con esa persona.
No es un momento, son tres
- Día cero.La cuenta se desactiva, pero solo en los sistemas que TI recordó incluir. Todo lo configurado fuera del proveedor de identidad sigue funcionando exactamente igual.
- Los primeros 30 días.Es la ventana en la que el equipo suele volver, si es que va a volver. Después de eso, las probabilidades de recuperarlo caen rápido y la laptop se convierte en una pérdida que nadie presupuestó.
- Del día 90 en adelante.Lo que no se detectó hasta ahora suele aparecer primero en otro lado — una factura de renovación de licencia para un usuario que ya nadie usa, o un intento de login en una cuenta que ya no debería existir.
La baja manual no escala con la plantilla
| Etapa | Baja manual | Gestionada por plataforma de endpoints |
|---|---|---|
| Estado del equipo | Reportado por el propio ex empleado | Verificado automáticamente en cuanto el dispositivo se conecta |
| Revocación de acceso | Un ticket por sistema, en el orden en que alguien se acuerde | Disparada desde un único registro, en todos los sistemas dados de alta |
| Datos locales | Desconocidos hasta que alguien los busca | Visibles antes de que la cuenta siquiera se desactive |
| Registro de auditoría | Reconstruido después del hecho, si es que se logra | Registrado automáticamente en el momento en que ocurre |
No es un problema de personas, es un problema de visibilidad
Nada de esto requiere un empleado resentido. Solo requiere que nadie pueda ver, en un solo lugar, todos los dispositivos y todas las cuentas que siguen ligadas a una persona que ya no está.
La visibilidad es la solución real aquí — no una política más estricta que depende de la buena voluntad del empleado para cumplirse, ni un checklist más largo que sigue dependiendo de que alguien recuerde marcar cada casilla a mano.
Desactivar a un usuario en el proveedor de identidad no afecta los cachés locales. Las contraseñas guardadas en el navegador, los certificados VPN en caché y los tokens de API almacenados localmente siguen funcionando hasta que el propio dispositivo se bloquee, se borre de forma remota o se recupere físicamente. Ahí es exactamente donde «revocado» y «revocado de verdad» dejan de significar lo mismo.
Cómo ayuda INGITE
Cloud Asset Management
Cada dispositivo ligado al registro de un empleado, con el estado de devolución rastreado desde el día en que se entrega — para que una laptop faltante sea una alerta desde el primer día, no una sorpresa en la próxima auditoría.
Cloud Remote Access
Bloquee o borre un dispositivo en el momento en que empieza la baja, vuelva o no vuelva a la oficina.
¿Sabe dónde está cada laptop de quien se fue este año?
Antes de archivar la próxima salida como algo de rutina, responda con honestidad:
- ¿Puede decir, ahora mismo, cuántos dispositivos entregados a ex empleados nunca se devolvieron?
- ¿La revocación de acceso ocurre automáticamente, o depende de que alguien recuerde abrir un ticket?
- Si la laptop de un ex empleado se conectara a su red mañana, ¿alguien lo notaría?
- ¿Podría mostrar hoy el registro de auditoría de la baja, o tendría que reconstruirlo primero?
Si más de una de esas respuestas incomoda, la baja no está rota porque la gente sea descuidada. Está rota porque nadie puede ver la lista completa.
¿Qué pasa con la laptop cuando se da de baja a un empleado?
¿Cuántas empresas no logran recuperar equipos de ex empleados?
¿Un ex empleado todavía puede acceder a los sistemas de la empresa después de la baja?
¿Cómo puede TI cerrar esta brecha en la baja de empleados?
Sepa dónde está cada dispositivo, de verdad
Un registro por empleado, que rastrea cada dispositivo desde la entrega hasta la devolución, para que la baja no dependa de que alguien se acuerde de revisar.