Cuentas huérfanas: el fallo del ciclo joiner-mover-leaver

El ciclo joiner-mover-leaver (JML) es el proceso de gestión de identidades que cubre tres momentos: cuando alguien entra en la organización (joiner), cuando cambia de puesto (mover) y cuando se va (leaver). Las cuentas huérfanas, activas pero sin una persona detrás que las necesite, aparecen casi siempre por un fallo en el tercero. Y la acumulación de permisos, por un fallo en el segundo.

Desde soporte técnico se ve muy claro que el alta es la parte que siempre funciona: la persona nueva llega, necesita entrar y alguien se queja si no puede. La baja no la reclama nadie.

Joiner: el alta

El riesgo en el alta es dar demasiado desde el primer día, normalmente copiando los permisos de "alguien que hace lo mismo". Ese alguien lleva cinco años acumulando accesos. Lo correcto es asignar por rol: grupos que representan un puesto, con sus permisos definidos, en vez de permisos individuales copiados.

La contraseña inicial también importa: generada, de un solo uso y con registro de MFA obligatorio en el primer inicio de sesión. Una contraseña inicial estándar del tipo "Empresa2026!" es una de las primeras cosas que prueba un atacante con password spraying.

Mover: el cambio de puesto

Es la fase que menos se gestiona y la que produce la acumulación de privilegios: alguien pasa de finanzas a comercial y se lleva los accesos nuevos sin perder los antiguos. Tras tres cambios de puesto, esa cuenta tiene acceso a medio negocio, y es justo la que interesa comprometer.

La regla sana: un cambio de puesto es una baja de los permisos del puesto anterior más un alta en el nuevo, con un periodo de transición fijado si hace falta, no una suma.

Leaver: la baja

Una cuenta de alguien que se ha ido es peligrosa por dos motivos: nadie va a notar si alguien la usa, y su contraseña puede estar en alguna filtración antigua. Lo que debería pasar el último día, o antes si la salida no es amistosa:

1. Deshabilitar la cuenta y revocar las sesiones activas. Deshabilitar sin revocar deja vivos los tokens ya emitidos durante un tiempo.
2. Quitar los métodos de MFA y los dispositivos registrados.
3. Convertir el buzón en compartido o delegarlo si hace falta, en vez de mantener la cuenta activa "para ver el correo".
4. Revisar lo que no pasa por el directorio: cuentas locales en aplicaciones SaaS sin SSO, claves de API que creó, accesos a proveedores, secretos que conocía.
5. Eliminar la cuenta tras el periodo de retención definido.

El punto 4 es el que falla más. El SSO ayuda mucho aquí: si todas las aplicaciones autentican contra Entra ID o el directorio corporativo, deshabilitar una cuenta corta el acceso en todas.

Cómo encontrar las cuentas huérfanas que ya existen

En Active Directory, cuentas habilitadas sin inicio de sesión en 90 días:

Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly |
  Where-Object { $_.Enabled } |
  Select-Object Name, SamAccountName, LastLogonDate

Y el cruce más útil: exportar la lista de usuarios activos del directorio y compararla con la de empleados actuales de recursos humanos. Lo que esté en la primera y no en la segunda necesita una explicación. Si la explicación es "es una cuenta de servicio", que tenga un responsable con nombre y apellidos.

Revisiones de acceso periódicas

Las revisiones de acceso (access reviews) piden a cada responsable que confirme, cada cierto tiempo, que su equipo sigue necesitando los accesos que tiene. Entra ID Governance las automatiza y puede retirar el acceso si nadie responde. Sin esa herramienta, una hoja de cálculo trimestral con los grupos sensibles ya es una mejora enorme. Para los roles de administración, lo mismo aplica con más frecuencia, como cuento en mínimo privilegio en Entra ID.

Preguntas frecuentes

¿Qué es una cuenta huérfana?

Una cuenta activa que ya no corresponde a ninguna persona o servicio que la necesite, normalmente porque su usuario dejó la organización o el servicio se retiró sin dar de baja la identidad.

¿Qué significa joiner-mover-leaver?

Es el ciclo de vida de una identidad en una organización: alta al incorporarse, ajuste de permisos al cambiar de puesto y baja al marcharse. Es la base de cualquier proceso de IAM.

¿Deshabilitar o eliminar la cuenta al irse alguien?

Deshabilitar el primer día y eliminar después de un periodo de retención definido, para poder recuperar datos o investigar si hace falta.