Cuando se va un empleado con accesos críticos: cómo preservar las evidencias digitales
Muchos conflictos con extrabajadores se pierden por una razón sencilla: cuando la empresa quiere revisar qué ha pasado, las evidencias ya no existen. Los equipos se han formateado para reasignarlos y los registros de la nube han caducado.
El mismo día de la salida
- Retira todos los accesos: correo, VPN, aplicaciones en la nube, cuentas de administrador y contraseñas compartidas.
- Recoge móviles, tabletas y portátiles y no los formatees ni los reasignes.
- Guárdalos precintados y documenta quién los tiene y desde cuándo (cadena de custodia).
Los primeros días
- Exporta los registros de auditoría de la nube (por ejemplo, Microsoft 365): se conservan durante un tiempo limitado.
- Comprueba si se han borrado archivos, correos o carpetas compartidas: algunos solo se pueden recuperar durante un plazo corto.
- Revisa la consola del antivirus y de los sistemas de gestión de dispositivos.
Qué puede demostrar un peritaje
- Si un dispositivo se ha restablecido de fábrica y cuándo.
- Cuántos archivos se han borrado de un ordenador y qué programas se han desinstalado.
- Qué contenidos de la nube se han eliminado, cuándo y desde qué dirección IP.
Cuanto antes se actúa, más evidencias se conservan. Un perito puede hacer la adquisición forense de los equipos antes de cualquier otra manipulación.