Se marcharon en marzo.
Usted sigue pagando por ellos.
El proveedor de identidad desactivó la cuenta el primer día. La licencia de Figma, la licencia de Notion, la concesión OAuth con acceso de lectura a la unidad de la empresa y el usuario nominal de SAP siguen activos.
CerteroX SaaS Management cierra cada uno y guarda el comprobante.
Lista de comprobación de offboarding
IlustrativoBaja · 118 días desde el último día de trabajo
Estado de revocación por licencia, por conector
- Cuenta de Entra ID desactivado por el proceso de altas, cambios y bajas
- cerrado · día 1
- Microsoft 365 E5 recuperada al grupo
- cerrado · día 1
- Figma nunca se solicitó ninguna acción del conector
- sigue asignada
- Notion desaprovisionamiento en cola
- en curso
- Concesión OAuth · lectura de la unidad concedida hace 2 años, inactiva desde hace 118 días
- activo · riesgo 78
Gasto desperdiciado, este usuario
sigue generando cargos mensuales
Los empleados que se marchan siguen costando dinero después de irse.
Desactivar la cuenta principal es el primero de muchos pasos. La licencia de la herramienta de diseño, el gestor de proyectos, la aplicación de terceros con acceso a la unidad de la empresa y el usuario del ERP suelen seguir activos durante meses, pagados y expuestos a un uso indebido. CerteroX los recorre todos y registra cada paso.
- Coste
Deje de pagar por antiguos empleados.
Las licencias de usuario y las licencias se liberan como parte de la salida, y todo lo que sigue abierto se muestra con su coste mensual.
- Riesgo
Cierre las puertas tras su salida.
El acceso concedido a aplicaciones externas se revoca en el mismo proceso, para que las credenciales de un exempleado no se conviertan en la puerta de entrada de otra persona.
- Esfuerzo
Responda al auditor sin tener que buscar.
Para cualquier empleado que se haya marchado, puede mostrar qué se eliminó y cuándo, sin recopilar capturas de pantalla de veinte consolas de administración distintas.
El problema
Desactivar la cuenta es el primero de unos veinte pasos.
Nadie lo discute. El problema es que los pasos del dos al veinte están en veinte consolas de administración distintas, y ningún sistema sabe por sí solo que la lista está incompleta.
46%
de las licencias SaaS no se usan; la organización media usa el 54 %
Los usuarios que se han marchado son la parte más fácil de recuperar, porque nadie va a poner objeciones.
- 01 inicio de sesión bloqueado, licencia activa
La licencia de usuario sobrevive a la cuenta.
Bloquear el inicio de sesión detiene el acceso. No libera la licencia de usuario, y la mayoría de los proveedores siguen facturando una licencia asignada tanto si alguien puede usarla como si no. El ahorro requiere una acción en el proveedor, a través del conector que contiene la propia lista de usuarios de ese proveedor.
Sincronización de conectores que obtiene del proveedor las listas oficiales de usuarios y licencias SaaS Management
- 02 la concesión sobrevive a la cuenta
Una aplicación de terceros sigue teniendo acceso de lectura, y su consentimiento procede de un buzón que ya no existe.
Una concesión OAuth sobrevive a la sesión que la creó. La inactividad es precisamente la condición en la que nadie se da cuenta, y precisamente la que hace que merezca la pena revisar la concesión.
Puntuación de riesgo de concesiones OAuth según sensibilidad, alcance, consentimiento e inactividad SaaS Management
- 03 cada proveedor es distinto
Uno de sus proveedores no tiene ninguna API de suspensión.
HubSpot no permite suspender, así que o se retiran los roles o se elimina. Box tiene que transferir la propiedad de los archivos antes de desactivar o los archivos se van con el usuario. ServiceNow necesita que la cuenta se bloquee y que se retiren todos los roles y pertenencias a grupos. Una llamada genérica de “desactivar usuario” no hace nada de esto.
Aprovisionamiento y desaprovisionamiento en Entra, Okta, Google, M365 y más SaaS Management
- 04 nadie puede demostrar que terminó
Un ticket cerrado es la única prueba que existe.
Pregunte qué licencias tenía ese empleado el último día y qué pasó con cada una. Si la respuesta es un ticket cerrado, la brecha está abierta y no puede ver su tamaño.
Lista de comprobación de offboarding por usuario con estado de revocación por licencia SaaS Management
- Un proceso de baja de empleados (offboarding) que no se puede auditar es un acuerdo de facturación con sus exempleados y una invitación permanente a quien tenga sus credenciales.
Tres de las cinco disciplinas.
Cada uno funciona de forma independiente y comparte un único modelo de activos, por lo que las partes que abarcan varios productos no requieren trabajo de integración.
- Principal CerteroX SaaS Management Revocación por licencia, desaprovisionamiento específico de cada proveedor y el motor de flujos de trabajo que lo impulsa. Más información
- También se aplica CerteroX ITAM El dispositivo, la inscripción móvil y los objetos de directorio asociados a la persona. Más información
- También se aplica CerteroX SAM Usuarios nominales y derechos de uso por dispositivo devueltos a la posición de licencias. Más información
Está viendo el detalle técnico completo. Desactívelo para ver la versión breve.
Ocultar detalle técnicoDel registro de baja a una lista vacía.
Un circuito cerrado lleva su propio registro de lo que aún no ha terminado.
-
Activar desde la fuente de referencia
El estado de baja procede del proveedor de identidad, el día en que se desactiva la cuenta.
- Sincronización con proveedores de identidad desde Entra ID y Okta, incluida la inscripción en MFA SaaS Management
- Motor de flujos de trabajo: 8 desencadenantes, 11 condiciones y 13 acciones en un mismo lienzo SaaS Management
- Importación desde Active Directory de usuarios, grupos, equipos, sitios y subredes ITAM
-
Enumerar todo lo que tenía
Lo que los proveedores dicen que tienen, leído conector por conector.
- Sincronización de conectores que obtiene del proveedor las listas oficiales de usuarios y licencias SaaS Management
- Detección de concesiones OAuth para aplicaciones de terceros autorizadas SaaS Management
- Lista de comprobación de offboarding por usuario con estado de revocación por licencia SaaS Management
- Gestión de dispositivos móviles para iOS y Android, incluido Apple DEP ITAM
-
Revocar como exige cada proveedor
Trece acciones de flujo de trabajo y conectores que distinguen entre suspender, retirar y eliminar.
- Aprovisionamiento y desaprovisionamiento en Entra, Okta, Google, M365 y más SaaS Management
- Acciones: recuperar, reasignar, bajar de nivel, archivar, recordar, descartar SaaS Management
- Revocación de concesiones con un clic, disponible también como acción de flujo de trabajo SaaS Management
- Asistente de desaprovisionamiento masivo para bajas con selección múltiple SaaS Management
-
Demostrar que se cerró y poner precio a lo que no
Una tarea pendiente con un coste mensual asociado se termina. Una tarea pendiente en una lista de comprobación, no.
- Métrica de gasto desperdiciado para licencias que siguen asignadas a usuarios que se han marchado SaaS Management
- Registro de auditoría de cada paso de aprovisionamiento y desaprovisionamiento SaaS Management
- Modelo de roles de seis niveles que incluye un rol de auditor dedicado SaaS Management
- Ahorro y costes evitados conseguidos, y ROI por trimestre fiscal SaaS Management
Pida ver cualquiera de ellos funcionando en el propio producto, en la pantalla donde ocurre.
Cómo es hacerlo bien.
Puede medir la madurez de su proceso de baja con una sola pregunta: ¿cuánto le está costando ahora mismo?
- 01
Puede responder a la pregunta para cualquier empleado que se haya marchado.
Todas las licencias que tenía, el estado del conector detrás de cada una y si la revocación está pendiente, en curso o completada. En una sola pantalla, para cualquier persona que se haya marchado.
- 02
Las tareas pendientes tienen un precio.
La métrica de gasto desperdiciado asigna un coste mensual estimado a las licencias que siguen en manos de usuarios que se han marchado. Una cifra avanza más rápido por un service desk que un recordatorio.
- 03
El desaprovisionamiento respeta la realidad de cada proveedor.
Modo suave cuando no hay API de suspensión, transferencia de la propiedad de los archivos antes de la desactivación cuando de lo contrario se perderían, y retirada de roles y grupos cuando una cuenta no se puede eliminar sin más.
- 04
Las concesiones se revocan dentro del flujo de trabajo de bajas.
Revocación con un clic para las aplicaciones de terceros con consentimiento, y la misma revocación disponible como acción automatizada dentro del flujo de trabajo de bajas.
- 05
Un auditor puede comprobarlo sin usted.
Un rol de auditor específico en un modelo de seis niveles, con un registro de auditoría que cubre cada paso de aprovisionamiento y desaprovisionamiento. Pruebas que no tiene que reunir.
Preguntas frecuentes
¿Quiere hacer otra pregunta?
Póngase en contactoNuestro proveedor de identidad ya desaprovisiona al finalizar la relación laboral. ¿No es suficiente?
Basta para el acceso, pero no para el coste, y solo llega a las aplicaciones que están detrás del SSO. Todo lo que se compra al margen de la identidad, que es la mayor parte de la TI en la sombra, conserva su licencia de usuario y su factura. La sincronización de conectores lee la lista oficial de usuarios del proveedor, que es el único lugar que sabe que la licencia sigue asignada.
¿Cómo gestiona las aplicaciones sin API de desaprovisionamiento?
El conector lo gestiona de forma explícita. Cuando un proveedor no permite suspender, el conector ofrece un modo suave que retira los roles y un modo estricto que elimina, y la lista de comprobación muestra cuál se ejecutó. Cuando un proveedor requiere una secuencia, como transferir la propiedad de los archivos antes de desactivar, el conector ejecuta esa secuencia.
¿Puede funcionar sin intervención humana?
Puede, y para la mayor parte de la lista debería. El motor de flujos de trabajo tiene 8 desencadenantes, 11 condiciones y 13 acciones en un mismo lienzo, de modo que las revocaciones de bajo riesgo se ejecutan automáticamente y todo lo que afecta a la propiedad de los datos o a un buzón compartido pasa primero por una persona.
¿Y el portátil, el teléfono y las licencias que contienen?
La misma plataforma. El registro del dispositivo, la inscripción móvil (incluido Apple DEP) y el software instalado están en el mismo modelo de activos, de modo que una baja devuelve a la posición de licencias los derechos de uso asignados al dispositivo el mismo día en que la persona se marcha.
Tenemos miles de bajas históricas. ¿Por dónde empezamos?
Con el asistente de desaprovisionamiento masivo y una ordenación por gasto desperdiciado. El asistente de selección múltiple gestiona el trabajo acumulado por lotes, empezando por el coste más alto, y después el ahorro conseguido se sigue por trimestre fiscal, de modo que la limpieza tiene una cifra asociada.
Abra una baja del año pasado.
Vea qué conserva todavía.
La lista de comprobación de offboarding recorrida de principio a fin: cada licencia que sigue asignada tras desactivar la cuenta, la revocación pendiente o completada y un coste mensual en cada línea. Díganos qué proveedores conservan los empleados que se marchan y preparamos la sesión en torno a ellos.
Requiere una sesión y nada que conectar, con un técnico en la llamada al que puede plantear todas sus preguntas.