Traspaso de vault: evita que las credenciales se vayan con quien se marcha

Logins compartidos que solo una persona conocía, API-keys guardadas en su vault personal, tokens 2FA vinculados a su móvil privado. Así evitas los momentos de "¿y ahora qué?".

El drama clásico del offboarding: alguien se va y una semana después descubres que era el único que conocía la contraseña de la cuenta corporativa del servicio X. No coge el teléfono. Problema.

Prevención en tres niveles

1. Nada de vaults personales para credenciales corporativas. Todo lo que sea empresarial va en un vault compartido (de equipo o del sistema de vault). Las cuentas personales de 1Password son para uso privado.
2. Mínimo 2 personas con acceso a cada credencial crítica. Consulta privileged access — asegúrate de que al menos 2 personas tengan permisos de administrador.
3. El 2FA no debe estar vinculado al móvil privado. Usa soluciones de token compartido (1Password TOTP, Keeper) o tokens de hardware corporativos.

Durante el propio offboarding

1. Haz una lista: ¿qué elementos del vault se pierden con esta persona? Esos hay que transferirlos.
2. Por cada elemento: traspaso explícito al sucesor + cambio de contraseña inmediato a continuación (por seguridad).
3. Tokens 2FA: redistribuirlos o migrarlos al sistema compartido o de equipo.
4. Registro con fecha y elementos transferidos.

Después del offboarding

Revisión en el siguiente trimestre: ¿hay credenciales con las que seguimos tropezando y que faltan? Normalmente, en el primer mes aparecen 1 o 2 de esas situaciones de "ah, y esto también".

Ver también: gestión de contraseñas compartidas, guía de offboarding.