Principales conclusiones:
- En un acuerdo típico de EOR, la empresa de EOR se encarga de la gestión de la nómina, mientras que la empresa cliente es responsable de conceder, proteger y revocar el acceso de los empleados a los sistemas informáticos.
- Los empleados de EOR deben seguir las mismas políticas de seguridad que el resto de empleados, lo que incluye la autenticación multifactorial, los permisos basados en funciones y las revisiones periódicas de los accesos.
- Para garantizar un proceso seguro de baja de personal en el ámbito de las tecnologías de la información, es necesaria la coordinación entre RR. HH., el departamento de TI y el EOR, con el fin de asegurar que se revoquen los accesos a tiempo, se desactiven las credenciales y se conserven los datos empresariales importantes.
Cuando se contrata a través de un «empleador oficial» (EOR), este se convierte en el empleador legal del empleado en su país. Sin embargo, ser el empleador legal no significa que el EOR decida quién puede acceder al correo electrónico, a los repositorios de código o a la base de datos de clientes de la empresa cliente; ese control suele recaer en la propia empresa.
Pero es precisamente en la brecha entre estas funciones donde suelen surgir los problemas de seguridad. Si los departamentos de RR. HH., TI y el EOR no comparten la información actualizada con rapidez, es posible que un nuevo empleado empiece a trabajar sin disponer de todas las herramientas que necesita. Un empleado que cambie de equipo podría conservar permisos que ya no utiliza. Y es posible que alguien que haya dejado la empresa siga pudiendo iniciar sesión semanas después.
Ese último riesgo es más habitual de lo que muchos equipos creen. De hecho, una encuesta realizada en 2023 a 1.000 trabajadores estadounidenses reveló que casi la mitad de los antiguos empleados seguían utilizando las contraseñas de la empresa tras haber dejado el puesto.
Garantizar la seguridad del acceso requiere la coordinación entre los equipos de EOR, RR. HH. y TI, desde el primer día del empleado hasta su baja definitiva.
¿Quién es responsable del acceso y la seguridad informática de los empleados de EOR?
En un acuerdo típico de EOR, el proveedor se encarga de la gestión laboral a nivel local, como los contratos, la nómina, las prestaciones legales y el cumplimiento de la legislación laboral local. La empresa cliente, por su parte, gestiona el trabajo diario de los empleados, lo que suele incluir decidir a qué sistemas pueden acceder y cómo se protegen dichos sistemas.
En la práctica, la división suele ser así:
- El EOR gestiona la relación laboral y comunica las fechas clave, entre las que se incluyen las fechas de incorporación confirmadas, los cambios en los contratos, las dimisiones, los últimos días de trabajo y los trámites de baja.
- La empresa cliente crea cuentas para los empleados, asigna permisos, establece requisitos de autenticación, aplica políticas de seguridad y retira el acceso cuando finaliza la relación laboral. Además, suele decidir cómo se gestionan sus datos empresariales.
Dado que estas responsabilidades se reparten entre diferentes organizaciones, el momento en que se llevan a cabo es fundamental. Si el EOR confirma una baja antes de que el equipo de TI revoque los privilegios de seguridad, el acceso del empleado podría permanecer activo más tiempo del previsto. Por eso es importante definir quién envía las actualizaciones de estado, quién las recibe y con qué rapidez debe actuar el equipo de TI ante cada tipo de cambio.
Ten en cuenta que las responsabilidades varían según el proveedor de EOR y el contrato de servicios, así que revisa el contrato y deja por escrito quién es responsable de qué para asegurarte de que no se pase nada por alto.
¿Cómo deberían las empresas gestionar el acceso a los sistemas informáticos de los nuevos empleados contratados a través de un EOR?
Incorpora el proceso de provisión de acceso a los sistemas informáticos en el proceso de incorporación de los empleados a través del EOR y empieza con bastante antelación respecto a su primer día de trabajo, sobre todo cuando los departamentos de RR. HH., TI, el responsable de contratación y el EOR se encuentran en diferentes zonas horarias. Si un empleado necesita material, como un portátil de la empresa, coordina la entrega para que el dispositivo llegue a tiempo.
Echa un vistazo a nuestra guía sobre cómo enviar de forma segura ordenadores portátiles y equipos informáticos al extranjero para obtener más información.
Verificar los datos del empleado y confirmar la fecha de incorporación
Antes de que el departamento de TI cree cualquier cuenta para un nuevo empleado, el departamento de RR. HH. debe confirmar el nombre legal del empleado, su cargo, departamento, responsable, lugar de trabajo y fecha de incorporación. Hay que tener en cuenta que las fechas de incorporación de los empleados contratados a través de un EOR pueden variar debido a retrasos en la firma del contrato, en la verificación de antecedentes o en la tramitación del permiso de trabajo, por lo que el departamento de TI debe crear las cuentas a partir de una fecha confirmada y no de una estimada.
La EOR verifica la identidad y los datos relativos al derecho al trabajo con fines laborales. Sin embargo, el equipo de TI sigue necesitando su propio procedimiento de verificación de identidad para la emisión de credenciales, como la confirmación de una dirección de correo electrónico personal o un número de teléfono a través de un canal de confianza antes de enviar enlaces de activación.
Configurar el inicio de sesión único y la autenticación multifactorial
El inicio de sesión único (SSO) permite a los empleados utilizar una identidad centralizada, gestionada a través de un proveedor de identidades, para acceder a numerosas aplicaciones. Esto resulta útil para los equipos de TI, ya que el SSO supone menos contraseñas independientes que controlar y un único lugar desde el que conceder, modificar o retirar el acceso. Para los equipos internacionales, el SSO también facilita el control del acceso en todas las sedes sin necesidad de gestionar las credenciales por separado para cada aplicación.
Combina el SSO con la autenticación multifactorial (MFA), un proceso de seguridad que exige a los usuarios proporcionar dos o más factores de verificación distintos para demostrar su identidad y poder acceder a una cuenta, una red o un dispositivo. El uso de la MFA reduce en un 99 % la probabilidad de que las cuentas sean objeto de un ataque informático.
Aplica a los empleados de EOR los mismos requisitos de autenticación que a los empleados de tu país de sede. Si algunos métodos resultan difíciles de utilizar en determinadas ubicaciones —como los códigos SMS en regiones con cobertura móvil poco fiable—, elige una alternativa que ofrezca, como mínimo, el mismo nivel de seguridad, en lugar de relajar el requisito.
Asignar permisos de aplicación basados en roles
El principio del mínimo privilegio consiste en conceder a los usuarios únicamente el acceso necesario para desempeñar sus funciones.
El control de acceso basado en roles (RBAC) facilita la aplicación de este principio a gran escala, ya que, en lugar de conceder permisos uno por uno, el departamento de TI define paquetes de acceso estándar para cada rol. Por ejemplo, un comercial de Australia podría tener acceso a Microsoft 365 o Google Workspace, Slack y Salesforce, mientras que un ingeniero de Polonia dispondría de repositorios de código y herramientas de desarrollo.
Exige la autorización de un responsable para cualquier acción que se salga del paquete estándar, especialmente el acceso a datos confidenciales o a derechos de administrador. Además, registra qué se ha concedido, quién lo ha autorizado y cuándo.
Confirmar el acceso antes del primer día de trabajo del empleado
Intenta tenerlo todo listo unos días antes de la fecha de incorporación del empleado. Comprueba que las cuentas estén activas y asignadas a los grupos correctos, y envía las instrucciones de activación a través del canal verificado.
A más tardar el primer día de trabajo del empleado, comprueba que se haya registrado en la autenticación multifactorial (MFA), que pueda iniciar sesión en todas las aplicaciones que requiera su puesto y que sepa cómo ponerse en contacto con el servicio de asistencia informática.
¿Cómo pueden las empresas garantizar un acceso seguro a los empleados de EOR?
La gestión del acceso de los empleados continúa tras su incorporación a la empresa. Los permisos tienden a acumularse a medida que los empleados asumen nuevos proyectos y, sin revisiones periódicas, es fácil que las cuentas se alejen del principio del «privilegio mínimo». Seguir estas buenas prácticas ayudará a mantener el acceso en consonancia con la función actual de cada empleado:
- Revisiones periódicas de los permisos de acceso: Pide a los responsables y a los gestores de las aplicaciones que confirmen periódicamente que cada empleado sigue necesitando sus permisos actuales. Da prioridad al acceso a información confidencial, como los sistemas financieros, los datos de los clientes y las consolas de administración.
- Cambios de puesto: Cuando un empleado de EOR sea ascendido, cambie de equipo o asuma nuevas responsabilidades, añade los permisos de acceso que requiera el nuevo puesto y elimina los que ya no sean necesarios para el antiguo.
- Políticas de seguridad: Aplica requisitos coherentes en materia de autenticación, gestión de contraseñas y aplicaciones autorizadas, independientemente del lugar de residencia del empleado. Es posible que las leyes locales de protección de datos impongan obligaciones adicionales en algunos países, pero tus controles básicos no deben debilitarse solo porque un empleado trabaje a través de un EOR.
- Supervisión y documentación: Mantén un registro de quién es el titular de cada cuenta, quién autorizó el acceso y cuándo se modificaron los permisos. Presta atención a cualquier actividad inusual, como inicios de sesión desde ubicaciones inesperadas o cuentas inactivas que se activan de repente.
Las herramientas centralizadas de gestión de identidades y accesos (IAM) facilitan enormemente esta tarea en distintos países. Al conectar las aplicaciones a un proveedor de identidades central, los equipos de TI pueden aplicar políticas de seguridad coherentes, simplificar las revisiones de acceso y obtener una mayor visibilidad de los permisos de los empleados.
¿Cómo deben las empresas revocar el acceso a los sistemas informáticos cuando los empleados de EOR abandonan la empresa?
La revocación del acceso es uno de los aspectos más importantes del proceso de baja de un empleado gestionado por un EOR, y requiere una mayor coordinación que una baja en el ámbito nacional. Los plazos de preaviso y los procedimientos de rescisión varían según el país, y el EOR, en su calidad de empleador legal, suele encargarse de gestionar el proceso formal. Tus equipos de RR. HH. y de TI deben adaptar su calendario de acceso a dicho proceso.
Los pasos generales para la finalización de la relación laboral se tratan en nuestra guía para evitar errores en la gestión de la salida de un empleado con un EOR; sin embargo, los pasos que se indican a continuación se centran en el acceso.
- Confirma el último día laborable y la fecha límite de acceso. Los departamentos de RR. HH. y de TI deben acordar exactamente cuándo finaliza el acceso. Puede ser el último día laborable o una fecha anterior si se concede al empleado una excedencia remunerada o si la salida es involuntaria. Ten en cuenta también los plazos de antelación, ya que los proveedores de servicios de EOR pueden exigir un número determinado de días de preaviso, además del plazo de preaviso legal.
- Desactiva las cuentas y revoca las sesiones activas. Retira el acceso al correo electrónico, al inicio de sesión único (SSO), a las VPN, a los sistemas internos y a otras aplicaciones. La desactivación de la cuenta de SSO bloquea los nuevos inicios de sesión, pero es posible que no finalice todas las sesiones existentes de forma inmediata. Las aplicaciones con inicios de sesión independientes del SSO deben desactivarse individualmente.
- Elimina los permisos y las credenciales. Cambia las contraseñas de las cuentas compartidas de los empleados, revoca las claves API personales y los tokens de acceso, y elimina el acceso privilegiado o de administrador. Además, comprueba si hay herramientas de terceros que los empleados puedan haber conectado a los sistemas de la empresa.
- Conserva la información empresarial necesaria. Antes de eliminar nada, transfiere la titularidad de los archivos, documentos y registros compartidos que la empresa aún necesite. Puede ser necesario desactivar las cuentas en lugar de eliminarlas para conservar los registros de auditoría. Además, respeta la normativa local en materia de privacidad. Según el RGPD del Reino Unido, por ejemplo, las empresas no deben conservar los datos personales más tiempo del necesario.
- Documenta y verifica que se haya completado el proceso. No des por hecho que el trabajo ha finalizado una vez desactivada la cuenta principal. Comprueba cada uno de los sistemas que figuran en el registro de acceso del empleado, confirma que se ha eliminado el acceso y registra quién ha realizado cada paso y cuándo.
Buenas prácticas para gestionar el acceso a los sistemas informáticos en una plantilla global
Se aplican los mismos principios tanto si contratas personal en un país como en 50. Estas prácticas refuerzan la seguridad de la plantilla a nivel mundial al garantizar un acceso uniforme para todos los empleados:
- Estandariza las listas de comprobación para la incorporación y la salida del personal. Utiliza los mismos pasos de acceso para cada incorporación y salida, e incluye cualquier añadido específico del país que sea necesario.
- Asigna claramente las responsabilidades. Indica quién es el responsable de cada tarea, desde el envío de actualizaciones de estado hasta la desactivación de cuentas, tanto en RR. HH. como en TI, entre los responsables y el EOR.
- Centraliza la gestión de identidades y automatiza los procesos siempre que sea posible. Conecta las aplicaciones a una única plataforma de gestión de identidades y accesos, y utiliza el aprovisionamiento automatizado para reducir los errores manuales.
- Lleva un inventario de cuentas y permisos. Debes saber qué cuentas tiene cada empleado y a qué puede acceder cada uno de ellos.
- Comunica los cambios de situación con prontitud. Establece con tu EOR y tus equipos internos las expectativas sobre la rapidez con la que debes comunicar las fechas de incorporación, los cambios de puesto y las bajas.
- Revisa los permisos de acceso y comprueba que se haya desactivado el acceso. Realiza revisiones periódicas de los permisos de acceso y confirma que se hayan completado los trámites de baja en todos los sistemas.
Simplifica la gestión del empleo internacional con RemoFirst
El acceso a las tecnologías de la información es solo una de las facetas de la gestión de un equipo internacional. También hay que lidiar con las distintas legislaciones laborales, las normas fiscales y de nóminas, las prestaciones legales y los requisitos de rescisión de contrato en cada país en el que se contrate personal.
RemoFirst ayuda a las empresas a contratar personal en más de 185 países, encargándose de los contratos de trabajo locales, la gestión de nóminas, las prestaciones y la administración de recursos humanos. También podemos organizar el envío de material para los empleados contratados en el extranjero, lo que facilita que los nuevos empleados se incorporen a sus puestos de trabajo, independientemente de dónde se encuentren.
Reserva una demostración para descubrir cómo RemoFirst facilita la contratación a nivel internacional.
Preguntas frecuentes
¿Proporciona un empleador oficial acceso a los sistemas informáticos a los empleados?
Por lo general, no. Un proveedor de servicios de gestión de personal (EOR) se encarga de la relación laboral legal, lo que incluye los contratos, la nómina, las prestaciones y los requisitos laborales locales. La empresa cliente suele crear las cuentas de los empleados, asignar permisos de acceso a las aplicaciones y gestionar la seguridad informática. Algunos EOR también ofrecen el suministro de equipos o servicios informáticos relacionados, por lo que las responsabilidades concretas dependen del proveedor y del contrato de servicios.
¿Quién es responsable de la seguridad informática cuando se recurre a un EOR?
Por lo general, la empresa cliente es responsable de garantizar la seguridad de los sistemas y aplicaciones que utilizan sus empleados gestionados por el proveedor de servicios de gestión de personal (EOR). Esto incluye los requisitos de autenticación, los permisos de acceso, la supervisión de la seguridad y la desactivación de cuentas. El EOR se encarga de la gestión laboral y comunica los cambios relevantes en la situación de los empleados, lo que ayuda a los equipos de RR. HH. y TI de la empresa a coordinar la incorporación y la salida de los empleados.
¿Puede una empresa de externalización de recursos (EOR) proporcionar ordenadores portátiles y otros equipos informáticos?
Sí. Algunos proveedores de EOR ofrecen servicios de adquisición, envío y logística de equipos para empleados internacionales. Por ejemplo, el servicio RemoTech de RemoFirst ayuda a las empresas a organizar la entrega de equipos a empleados en diferentes países. Sin embargo, la logística de los equipos y el acceso a las aplicaciones de la empresa son responsabilidades distintas, y el equipo de TI de la empresa cliente suele controlar el acceso al sistema y la configuración de seguridad.
