Cambiar de proveedor IT sin perder el control de sistemas y accesos

Una transición de proveedor IT suele centrarse en precios, alcance y fecha de inicio. El riesgo aparece en los detalles que nadie ha incluido en el traspaso: una cuenta registrada a nombre de una persona, una renovación automática desconocida o un procedimiento que solo conoce un técnico. Preparar la salida y la entrada de forma coordinada permite mantener continuidad y evita que el nuevo servicio empiece reconstruyendo información básica mientras atiende incidencias.

Identifica los activos que sostienen el servicio

Construye una relación de infraestructura, licencias, dominios, certificados, copias, herramientas de gestión y contratos asociados. Añade responsable, fecha de renovación y forma de acceso. Distingue lo que pertenece a la empresa de lo que se presta como parte del servicio contratado. Algunas herramientas no se transfieren y requerirán una alternativa. Esa diferencia debe conocerse antes de la fecha de corte, especialmente cuando afecta a monitorización, copias o soporte remoto.

Comprueba que la organización puede administrar sus cuentas esenciales mediante identidades bajo su control. No basta con recibir una contraseña en un correo: revisa contactos de recuperación, segundos factores, permisos y personas autorizadas. Utiliza un canal seguro para transferir secretos y registra quién los recibe. El objetivo es conservar una capacidad legítima de operación y recuperación, respetando las condiciones contractuales y evitando accesos compartidos sin trazabilidad.

Define qué documentación es realmente utilizable

Solicita inventario actualizado, diagramas relevantes, configuración respaldada, dependencias, procedimientos de recuperación y contactos de escalado. Incluye incidencias abiertas, riesgos aceptados y cambios pendientes. Un documento extenso puede estar desactualizado; una ficha breve con información verificada puede ser más útil. Establece una fecha de revisión y un responsable para cada bloque. Las ausencias deben aparecer como tareas del traspaso, con impacto y plazo, en lugar de quedar ocultas en una entrega genérica.

Acuerda responsabilidades durante la convivencia

Si ambos proveedores intervienen durante varias semanas, decide quién recibe incidencias, quién autoriza cambios y quién informa a la empresa. Evita que dos equipos modifiquen el mismo sistema sin coordinación. Puede ser razonable congelar cambios no esenciales durante un periodo corto, manteniendo un procedimiento para urgencias. La persona responsable de la transición debe tener una visión única de tareas y bloqueos, aunque cada proveedor use sus propias herramientas de seguimiento.

• Nombra un responsable de transición por parte de la empresa y de cada proveedor.
• Relaciona entregables concretos con una persona que pueda aceptarlos.
• Programa pruebas de acceso, copia, restauración y escalado antes del corte.
• Define una vuelta atrás viable si una dependencia crítica no queda resuelta.

Acepta mediante demostraciones, no solo mediante firmas

Pide al equipo entrante que ejecute tareas representativas usando la documentación recibida: identificar una alerta, localizar una configuración, solicitar soporte al fabricante o recuperar un recurso de prueba. Esto descubre lagunas antes de que se conviertan en incidencias. No es necesario simular todos los escenarios, pero sí los que comprometerían la operación. Registra resultados y pendientes, diferenciando los que impiden el corte de los que pueden resolverse con un control temporal.

Planifica la retirada de accesos y datos

Al finalizar la transición, revisa cuentas nominativas, accesos remotos, certificados, integraciones y permisos de herramientas. Revoca lo que ya no sea necesario y rota los secretos compartidos cuando corresponda. Coordina estas acciones para no interrumpir una tarea todavía autorizada. También hay que acordar devolución o eliminación de información conservada por el proveedor saliente, con las excepciones de conservación que procedan. La verificación debe basarse en evidencia disponible y obligaciones pactadas.

La guía de NIST sobre riesgo en la cadena de suministro ofrece un marco para considerar la relación con proveedores durante su ciclo de vida. En un traspaso concreto, esa idea se traduce en saber qué dependencias sobreviven a la fecha de cierre. Un contrato que termina no implica que desaparezcan automáticamente una cuenta externa, un agente instalado o una renovación. Cada elemento necesita una decisión y una comprobación técnica cuando sea posible.

Reserva un periodo de estabilización

Durante las primeras semanas, revisa incidencias repetidas, alertas sin destinatario y diferencias entre el inventario y la realidad. Mantén una lista breve de ajustes con responsables. El cierre definitivo debe confirmar que el nuevo equipo puede operar, que la empresa conserva control y que no quedan permisos innecesarios. Una transición bien preparada no elimina todos los imprevistos, pero reduce la dependencia de memoria individual y permite resolverlos desde una base documentada y compartida.