Mejores Prácticas en Microsoft 365 y Entra ID al retirar a un usuario

Modificado el Vie., 11 Oct. a las 3:47 P. M.

TABLA DE CONTENIDOS

Retención de Datos en Microsoft 365 después de la Desactivación de una Cuenta
Requisitos de Licenciamiento para Políticas de Retención y Bloqueo de Litigios
Checklist de Pasos para Gestionar la Baja de un Usuario

Cuando un empleado es despedido o deja la empresa, es fundamental seguir un proceso bien estructurado para proteger los activos de la empresa y cumplir con las normativas de seguridad y cumplimiento. En este artículo, exploraremos las mejores prácticas para gestionar la salida de empleados, basándonos en las capacidades de Microsoft Entra ID (anteriormente Azure AD) y Microsoft 365, y cómo asegurar que la información crítica permanezca protegida.

Retención de Datos en Microsoft 365 después de la Desactivación de una Cuenta

Cuando se elimina un usuario o se quita su licencia en Microsoft 365, la retención de los datos sigue las siguientes reglas generales:

Correo de Exchange Online: Los datos del correo se conservan durante 30 días después de que se elimina la cuenta, a menos que se aplique una política de retención o un bloqueo de litigios (Litigation Hold).
OneDrive y SharePoint: OneDrive almacena los datos por 30 días después de la eliminación de la cuenta. SharePoint sigue las configuraciones de retención del sitio.
Teams: Los chats y archivos compartidos en Microsoft Teams se eliminan en función de las políticas de retención establecidas por la organización.

Requisitos de Licenciamiento para Políticas de Retención y Bloqueo de Litigios

Es importante tener en cuenta que para aplicar políticas de retención y utilizar el bloqueo de litigios en Microsoft 365, se requieren licencias específicas:

Bloqueo de Litigios (Litigation Hold): Requiere una licencia de Exchange Online Plan 2, Office 365 E3/E5 o Microsoft 365 E3/E5. Estas licencias permiten colocar buzones en hold para preservar su contenido.
Políticas de Retención: Las políticas de retención básicas están disponibles con licencias de Office 365 E3/E5 o Microsoft 365 E3/E5. Funcionalidades avanzadas, como retención basada en etiquetas o retención automatizada mediante inteligencia artificial, pueden requerir licencias adicionales como Microsoft 365 E5 Compliance o el complemento de Advanced Compliance.

Checklist de Pasos para Gestionar la Baja de un Usuario

1. Revocar Acceso Inmediato

Tan pronto se toma la decisión de despedir a un empleado, el primer paso es revocar el acceso a todos los sistemas críticos:

Deshabilitar la cuenta en Entra ID: Esto puede hacerse desactivando el inicio de sesión para la cuenta del usuario.
Desconectar todas las sesiones activas: En Microsoft 365, puedes forzar la finalización de todas las sesiones activas de un usuario usando PowerShell o directamente desde el portal de Microsoft 365.

Referencias:

Revocar el acceso a un usuario en Entra ID

2. Asignar Acceso a los Datos Críticos

Antes de eliminar definitivamente la cuenta, asegúrate de que los datos importantes del usuario puedan ser accedidos por otros:

Delegar el acceso al correo electrónico y OneDrive: Puedes asignar un delegado o transferir la propiedad de los archivos de OneDrive a un manager o administrador. Esto puede realizarse con PowerShell o desde el centro de administración de Microsoft 365.
Compartir los Forms que realizó el usuario con un grupo de Microsoft 365.

Referencias:

3. Aplicar Políticas de Retención y Bloqueo de Litigios

Para preservar los datos del usuario por más tiempo o debido a requisitos legales:

Aplicar políticas de retención en Exchange y SharePoint: Esto garantiza que los correos electrónicos, archivos y otros datos permanezcan almacenados por un período específico, incluso después de que el usuario haya sido eliminado.
Bloqueo de litigios (Litigation Hold): Si tu empresa puede estar sujeta a litigios, coloca un hold en el buzón de Exchange del usuario para evitar que se eliminen los datos.

Nota sobre Licenciamiento: Para aplicar un bloqueo de litigios o políticas de retención avanzadas, es necesario contar con las licencias adecuadas mencionadas anteriormente.

Referencias:

Aplicar un Litigation Hold

4. Eliminar la Cuenta del Usuario

Una vez que has asegurado el acceso a los datos y aplicado las políticas de retención necesarias, puedes proceder con la eliminación de la cuenta.

Eliminar la cuenta en Entra ID: Este paso removerá definitivamente la cuenta de Azure AD, pero recuerda que los datos aún pueden estar accesibles por un período de retención según lo configurado.

Referencias:

Eliminar una cuenta en Entra ID

5. Auditar la Actividad Reciente del Usuario

Antes de eliminar definitivamente la cuenta, realiza una auditoría de la actividad reciente del usuario para detectar cualquier actividad inusual o potencialmente malintencionada.

Revisar logs de acceso y actividades en Microsoft 365: Utiliza el centro de cumplimiento de Microsoft 365 para generar informes de auditoría.

Referencias:

Auditar la actividad de usuarios en Microsoft 365

6. Eliminar Dispositivos y Limpiar Dispositivos Móviles en Intune

Para organizaciones que tienen habilitado y desplegado Microsoft Intune, es necesario eliminar o limpiar los dispositivos que estaban gestionados por el usuario.

Eliminar dispositivos: Puedes eliminar dispositivos registrados en Intune desde el portal de administración. Esto asegura que el dispositivo ya no esté vinculado al usuario ni a la organización.
Limpieza remota de dispositivos móviles: Si el usuario tenía dispositivos móviles inscritos en Intune, puedes ejecutar un borrado remoto (remote wipe) para eliminar todos los datos corporativos del dispositivo. Ten en cuenta que el borrado puede ser selectivo (solo datos corporativos) o completo (incluyendo datos personales).

Referencias:

7. Revisar y Transferir Flujos y Aplicaciones en Power Platform

Si el usuario gestionaba flujos de trabajo o aplicaciones en Power Platform (Power Automate o Power Apps), es fundamental revisar sus creaciones y asignarlas a otro propietario.

Revisar flujos y apps: Desde el portal de Power Platform, revisa todos los flujos y aplicaciones creados por el usuario.
Transferir la propiedad: Utiliza el portal o PowerShell para transferir la propiedad de los flujos o apps a otro usuario. Esto garantizará que los procesos de negocio no se vean interrumpidos.

Referencias:

Este enfoque garantizará que, al momento de que un empleado deje la organización, sus datos estén seguros, se cumplan las normativas legales y se minimicen los riesgos asociados con accesos no autorizados o pérdida de información.