Se fue hace dos años y todavía tiene la VPN

Pregunta incómoda: ¿cuántas cuentas activas tenés hoy de gente que ya no trabaja en la empresa?

En la mayoría de las organizaciones nadie lo sabe. Porque la baja se hace donde duele —se corta el sueldo, se retira la notebook— y ahí termina. La cuenta de mail queda. El usuario del sistema de gestión queda. La VPN queda. El acceso al panel del proveedor de hosting, que nadie recuerda que existía, también queda.

Esas cuentas son el mejor activo que puede encontrar un atacante: credenciales válidas que nadie va a extrañar y cuyo comportamiento raro nadie va a notar.

El arreglo no es técnico, es de proceso:

• Una única lista de sistemas donde una persona puede tener acceso. Si no está en la lista, no existe.
• La baja arranca en RR.HH. y no se cierra hasta que sistemas confirma cada punto.
• Revisión trimestral de cuentas activas contra la nómina real.
• Nada de cuentas genéricas compartidas: si "ventas@" la usan cinco personas, no podés dar de baja a una sola.

Es media hora de trabajo por trimestre. Y cierra una de las puertas más usadas que hay.