Ex empleado con acceso: la fuga silenciosa

Agarrá tu celular y respondé rápido: ¿cuántas personas que ya no trabajan con vos todavía pueden entrar hoy al Google Drive de la empresa? Si dudaste dos segundos, ya sabés la respuesta. Un ex empleado con acceso a tus sistemas es el tipo de riesgo que no hace ruido, no genera alerta, no aparece en ningún informe. Solo aparece el día en que ya es tarde.

En agosto de 2026 Apple fue a tribunales a decir que más ex empleados podrían haberse llevado material confidencial a OpenAI. Apple. La empresa con uno de los equipos de seguridad más paranoicos del planeta, credencial que pita, edificio compartimentado, gente que no puede hablar de su propio proyecto con el colega de al lado. Si ahí pasa, tu oficina con diez personas y treinta cuentas de SaaS no está inmune. Solo está menos observada.

No es sobre robo, es sobre la puerta que quedó abierta

Todo el mundo imagina la fuga como una película: el tipo copiando archivos al pendrive a las tres de la mañana. En la práctica es mucho más aburrido que eso.

Es el vendedor que exportó la lista de clientes a su Google Sheets personal en marzo, porque así trabajaba más rápido. Se fue en julio. La planilla sigue ahí, en su cuenta, con tus 4 mil contactos y el ticket promedio de cada uno.

Es la diseñadora freelance que todavía es admin de Figma. Es el pasante que sigue en el grupo de WhatsApp de finanzas. Es la cuenta de email marketing que nadie desactivó porque nadie recuerda quién la creó.

Ninguna de esas personas es un villano. La mayoría ni se acuerda de que tiene ese acceso. Pero el dato está fuera de tu control, y "fuera de tu control" es la definición literal de fuga, con o sin mala intención.

Un dato que salió no vuelve. No podés borrar lo que ya está en la nube de otra persona.

El problema real: no sabés cuántas cuentas existen

Acá viene la parte incómoda. Antes de revocar accesos, necesitás saber dónde hay accesos. Y casi ninguna empresa chica lo sabe.

Hacé una prueba. Agarrá el resumen de la tarjeta de la empresa de los últimos 12 meses y marcá cada cobro en dólares con nombre raro. Notion, Slack, Canva, Trello, Figma, Mailchimp, Calendly, alguna herramienta de IA, un acortador de links, esa app de firma de contratos. Ya hice esto con un cliente que juraba tener "unas 6 herramientas". Contamos 31.

Treinta y una puertas. Cada una con su propia lista de usuarios, su propio panel de permisos, su propio botón de eliminar escondido en un lugar distinto. Por eso la salida nunca es completa: nadie tiene la lista.

Y hay un agravante moderno. Muchas herramientas hoy se conectan a otras vía "Entrar con Google". Cuando desactivás la cuenta de Google de la persona, algunas de esas conexiones caen junto, otras no. Las que usan contraseña propia siguen vivas, indiferentes al hecho de que la persona ya devolvió la credencial.

Qué hacer el viernes que alguien se va

No hace falta software caro ni consultoría. Hace falta una lista y treinta minutos. Hacelo en este orden:

• Primero el correo. Suspendé la cuenta de Google Workspace o Microsoft 365 antes que nada. Es la llave maestra: casi todos los "olvidé mi contraseña" de las otras herramientas pasan por ahí. Suspendé, no borres, todavía vas a querer los archivos.
• Después lo que tiene dinero adentro. Banco, pasarela de pago, panel de anuncios, facturación. Acá el daño es inmediato y medible.
• Después lo que tiene clientes adentro. CRM, planilla comercial, herramienta de email, WhatsApp Business. Tu base de clientes vale más de lo que creés, y es lo más fácil de llevarse.
• Después el resto. Diseño, gestión de proyectos, documentación, repositorio de código.
• Por último, las contraseñas compartidas. Ese login único de Canva que usan ocho personas. Cambialo. Si la persona sabía la contraseña, la sigue sabiendo.

Algo que casi nadie hace y que cambia el juego: antes de suspender, transferí la propiedad de los archivos del Drive a otra persona. Si solo suspendés, los documentos quedan en un limbo y recuperarlos después cuesta un trabajo absurdo. Cinco minutos ahí te ahorran una tarde entera.

"Pero yo confío en mi equipo"

Genial, seguí confiando. El checklist no es sobre desconfianza, es sobre lo que pasa cuando la memoria falla.

Pensalo así: confiás en tu contador, y aun así guardás los comprobantes. Confiás en tu equipo, y aun así tenés contrato firmado. Revocar accesos es de la misma familia. Es higiene, no acusación.

Y hay un lado que protege a la propia persona. Si se filtra un dato de tu empresa y el ex empleado todavía tenía login activo, se vuelve sospechoso automático, aunque no haya hecho nada. Cerrar la puerta en la salida protege a las dos partes.

Un detalle práctico: poné la revocación de accesos como ítem del proceso de salida, junto con la devolución de la notebook. Nadie devuelve la notebook "cuando se acuerde". La devuelve ese día. El acceso debería funcionar igual.

Dónde entra la automatización sin volverse un proyecto de seis meses

No necesitás una plataforma de gobernanza de identidad. Necesitás dos cosas simples.

La primera es un inventario vivo. Una planilla alcanza, en serio. Columnas: herramienta, para qué sirve, quién paga, quién es admin, quién tiene acceso. Se actualiza cuando contratás a alguien y cuando alguien se va. Ya vi esa planilla ahorrar R$ 1.400 por mes en suscripciones de herramientas que ya nadie usaba, lo que casi siempre paga el esfuerzo de armarla.

La segunda es hacer que la computadora recuerde por vos. Un formulario de salida que dispara el checklist automático, marca las tareas, notifica a quien tiene que ejecutar y insiste hasta que todo esté cerrado. Eso es una automatización de media docena de pasos, no un sistema. Corre en una herramienta que probablemente ya pagás.

La ganancia no es técnica, es humana. La salida de alguien suele ser un día cargado, a veces tenso, y es justo ahí donde la atención desaparece. Un proceso automatizado no le tiene lástima a nadie y no se olvida de Figma.

El costo de no hacer nada

Vale la pena ponerle números, porque un riesgo abstracto nadie lo prioriza.

Si tu base de clientes se filtra a un competidor, ¿cuánto vale? Si se rompe un contrato con cláusula de confidencialidad por un acceso que dejaste abierto, ¿quién responde? La LGPD no pregunta si fue por descuido. Pregunta si tenías control sobre quién accedía a datos personales. "Nos olvidamos de sacarle el acceso" no es una buena defensa.

Apple tiene un equipo entero y aun así está discutiendo esto en la justicia. Vos no vas a tener un equipo entero. Vas a tener una planilla y un checklist, y sinceramente, en tu escala, eso resuelve el 90% del problema.

Si querés mapear las herramientas de tu empresa y armar ese proceso de salida de forma que corra solo, escribime para conversar. Suele ser más rápido de lo que imaginás, y después dormís mejor.

¿Cuántas personas que ya no trabajan con vos todavía pueden entrar hoy al Drive de la empresa?

Si dudaste dos segundos, ya sabés la respuesta.

En agosto de 2026 Apple fue a tribunales a decir que más ex empleados podrían haberse llevado material confidencial. Apple. Credencial que pita, edificio compartimentado, equipo de seguridad paranoico.

Tu oficina con diez personas y treinta suscripciones de SaaS no está inmune. Solo está menos observada.

Y casi nunca es una película de espionaje. Es la planilla de clientes que el vendedor exportó a su Gmail personal en marzo y se fue en julio. Es la freelance que sigue siendo admin de Figma. Es el login compartido de Canva que ocho personas saben de memoria.

Nadie es el villano. Pero un dato fuera de tu control es una fuga, con o sin mala intención.

No hace falta software caro. Hace falta una lista de las herramientas y treinta minutos el viernes que alguien se va.

¿Querés que te ayude a armar ese checklist antes de necesitarlo? Escribime.

#SeguridadDeLaInformación #ProtecciónDeDatos #GestiónDeEmpresas #Automatización #PequeñasEmpresas