Diagrama del proceso de retirada de accesos (desaprovisionamiento)
Diagrama del proceso de retirada de accesos de usuario: disparadores de baja y cambio de rol, rama de revocación inmediata, cuentas compartidas, recuperación de licencias y evidencia para auditoría.
Cómo funciona
Nombra vuestros orígenes de disparador reales
El diagrama admite cuatro disparadores: baja, fin de contrato, cambio de rol y hallazgo de revisión. Anota qué sistema o qué persona es la fuente autorizada de cada uno, por ejemplo el sistema de personal para empleados, el registro de contratos para proveedores y contratistas, y el resultado de la revisión para los hallazgos. Si algún disparador hoy no tiene dueño, esa es la primera brecha que conviene cerrar, porque un proceso que nadie inicia tampoco se puede medir.
Escribe la regla de revocación inmediata
La decisión «¿Se requiere revocación inmediata?» solo funciona si los criterios están escritos al lado. Los casos habituales son el despido, la sospecha de conducta indebida y cualquier persona con derechos de administrador, de producción o de aprobación de pagos. Añade vuestro tiempo objetivo e indica quién puede activarla fuera de horario. En un despido, la revocación suele coordinarse con la propia conversación, así que la rama va tanto de secuencia como de velocidad.
Engancha vuestro inventario de sistemas al paso de identificación
Sustituye la lista genérica de cuentas por el inventario que mantenéis de verdad, y marca qué sistemas están detrás del inicio de sesión único y cuáles no. Todo lo que queda fuera del proveedor de identidad es donde se esconden los accesos olvidados: cuentas de administrador local, usuarios de base de datos, claves SSH, tokens de API y herramientas que un equipo pagó con tarjeta. Pide al responsable de la persona que nombre lo que TI no gestiona.
Decide desactivar o eliminar antes de necesitarlo
Pon la desactivación como valor por defecto y define cuándo se permite eliminar, por ejemplo tras un periodo de conservación declarado o al terminar un contrato que así lo exija. Deja registrado quién toma esa decisión. Eliminar antes de tiempo destruye datos de correo, la propiedad de los archivos y el historial de auditoría del que dependen la conciliación y cualquier investigación posterior.
Mantén los pasos de datos y licencias en este orden
Traspasa primero el buzón y la propiedad de los archivos y recupera las licencias después. Invertir el orden deja huérfanos archivos compartidos y buzones, y recuperarlos luego es lento. Si configuras un reenvío o un delegado, asígnale en el mismo paso un responsable con nombre y una fecha de fin; si no, el apaño temporal se vuelve permanente sin que nadie se dé cuenta.
Acuerda qué cuenta como evidencia y quién concilia
Decide qué debe contener el registro de revocación —normalmente el sistema, la acción, la marca de tiempo y quién la ejecutó— y dónde se guarda. Después nombra a quién ejecuta el control «¿Queda algún acceso activo?» y contra qué, porque conciliar contra la lista de cuentas original y no contra la memoria es la única parte que detecta un olvido. Publica el diagrama aprobado junto a vuestra política de control de accesos, para que el proceso que la gente sigue y el que le enseñas a un auditor sean el mismo.
Preguntas frecuentes
¿Qué es el proceso de retirada de accesos de usuario?
Es el recorrido definido que sigue la retirada de los accesos de una persona, desde el disparador hasta un cierre confirmado y con evidencia. Un proceso completo tiene cinco partes: un disparador con un origen identificado, una decisión sobre con qué urgencia hay que quitar el acceso, la identificación de todas las cuentas y permisos que tiene la persona, la revocación en cada sistema con sus consecuencias de datos y licencias resueltas, y una conciliación que demuestre que no quedó nada activo. Los disparadores son más amplios de lo que se suele asumir: además de las bajas, el proceso debe ejecutarse en cambios de rol o de equipo, al terminar un contrato o una colaboración y ante cualquier hallazgo de una revisión de accesos, porque esos son los caminos que crean los permisos que después nadie sabe explicar.
¿Con qué rapidez hay que retirar los accesos cuando alguien causa baja?
Las normas fijan el requisito, no el reloj. El control A.5.18 de la ISO/IEC 27001:2022 exige retirar o ajustar los derechos de acceso al terminar o cambiar la relación laboral, pero no prescribe un plazo, así que el objetivo lo fijas y lo justificas tú. Un patrón habitual es retirar al final del último día trabajado en una salida planificada, y retirar de inmediato, coordinado con la conversación, en un despido o para cualquier persona con accesos privilegiados. Elijas lo que elijas, escríbelo en el proceso, mide el tiempo real entre el disparador y la última revocación y trata esa diferencia como el indicador que merece la pena reportar.
¿Hay que desactivar o eliminar la cuenta?
Desactivar es la opción más segura por defecto y es lo que hace primero la mayoría de las organizaciones. Cierra la cuenta, termina las sesiones activas y bloquea el inicio de sesión, conservando el contenido del buzón, la propiedad de los archivos, la pertenencia a grupos y el historial de auditoría que puede necesitar una investigación o una revisión posterior. La eliminación va al final de un periodo de conservación declarado, o al terminar un contrato cuando un acuerdo o un compromiso de protección de datos lo exige. Elijas lo que elijas, terminar las sesiones activas y revocar los tokens importa tanto como el estado de la cuenta: una cuenta desactivada con una sesión viva o un token de refresco válido sigue teniendo acceso hasta que esa sesión caduque.
¿Cómo se retira el acceso a cuentas compartidas, de servicio y privilegiadas?
Una cuenta compartida o de servicio no se desaprovisiona desactivándola, porque otras personas y sistemas dependen de ella. La acción de retirada consiste en rotar la credencial: cambiar la contraseña o la clave, sacar a la persona del gestor de contraseñas o del grupo que la custodia, revocar los tokens de API, las claves SSH y los tokens de acceso personal que haya creado, y terminar cualquier sesión activa. Las cuentas individuales privilegiadas necesitan el mismo tratamiento de sesiones y tokens además de la desactivación normal. La plantilla lo pone en su propia rama, a cargo de Seguridad, porque es el caso que más se olvida y el de consecuencias más amplias cuando se olvida.
¿Qué evidencia debe generar este proceso?
Como mínimo, un ticket o registro por retirada que muestre el disparador y su fecha, la lista de cuentas y permisos que se recopiló, la acción ejecutada en cada sistema con marca de tiempo y la persona que la realizó, y el resultado del control de conciliación. Ese registro es lo que muestrea un auditor y lo que te permite responder a un cuestionario de seguridad con una fecha en lugar de con una descripción. Conviene ser claro sobre lo que aporta aquí un diagrama de flujo: documenta el proceso previsto y quién es dueño de cada paso, pero la evidencia de cumplimiento son los registros que el proceso genera cuando se ejecuta.