Czy jeden nieodebrany dostęp może mieć poważne konsekwencje dla firmy? W jednym z brytyjskich przedsiębiorstw była dyrektorka nadal znała hasło do głównego konta e-mail. Wykorzystała je do zresetowania hasła do firmowego Dropboxa, a następnie usunęła ponad 5000 dokumentów. Firma wydała 35 tys. funtów na próbę odtworzenia kluczowych danych, jednak ostatecznie upadła, a pracę straciło wiele osób.
To skrajny przypadek, ale dobrze pokazuje, dlaczego offboarding nie powinien kończyć się na zwrocie laptopa i podpisaniu dokumentów. Nie chodzi przy tym o zakładanie złych intencji odchodzącego pracownika. Aktywne konto może stać się zagrożeniem również później, zwłaszcza jeśli organizacja straci kontrolę nad tym, jakie uprawnienia nadal są do niego przypisane.
W artykule pokażemy, jak uporządkować proces offboardingu i w jaki sposób rozwiązania takie jak NEDAPS IDM pomagają dopilnować, aby po zakończeniu współpracy wszystkie zbędne konta zostały wyłączone, a uprawnienia odebrane.
Chcesz ograniczyć ryzyko pozostawienia aktywnych kont po odejściu pracownika? Sprawdź, jak NEDAPS IDM pomaga zarządzać dostępami i automatyzować działania związane z offboardingiem.
Co obejmuje offboarding pracownika?
Offboarding obejmuje formalności kadrowe, przekazanie obowiązków i zwrot firmowego sprzętu. Równie ważne jest uporządkowanie dostępów pracownika do firmowych systemów: zablokowanie kont, odebranie uprawnień oraz przekazanie plików lub innych zasobów właściwym osobom
Offboarding warto rozpocząć odpowiednio wcześnie, aby wszystkie działania zostały wykonane najpóźniej w dniu zakończenia współpracy.
Dlaczego aktywne konto byłego pracownika jest zagrożeniem?
Każde nieużywane, ale nadal aktywne konto pozostawia dodatkową drogę dostępu, przez którą ktoś nieupoważniony może dostać się do firmowych zasobów. Nie chodzi przy tym o zakładanie, że były pracownik wykorzysta swoje uprawnienia w niewłaściwy sposób, lecz o ryzyko, że dane logowania trafią w niepowołane ręce.
Po odejściu pracownika nikt regularnie nie korzysta z danego konta, dlatego podejrzane logowania lub inne nieprawidłowości mogą pozostać niezauważone. Zagrożenie może pojawić się nawet po dłuższym czasie, na przykład w wyniku wycieku hasła lub ataku phishingowego.
Gdzie najczęściej pojawiają się problemy przy ręcznym offboardingu?
Odebranie wszystkich dostępów wymaga współpracy kilku osób i działów.
HR przekazuje informację o zakończeniu współpracy i pilnuje formalności. Dział IT musi zablokować konto, pocztę oraz dostęp do firmowej sieci. Przełożony najlepiej wie, z jakich narzędzi korzystał pracownik i komu powinny zostać przekazane jego zadania.
Na tym jednak lista się nie kończy. Ktoś w zespole powinien przejąć pliki, projekty i dokumenty, a administratorzy poszczególnych systemów muszą odebrać dodatkowe role oraz uprawnienia. Problem komplikuje się jeszcze bardziej, gdy pracownik korzysta z aplikacji zewnętrznych, VPN-u lub kont administracyjnych, które nie są zarządzane z jednego miejsca.
Jeżeli wszystkie te działania są przekazywane osobno np. e-mailem lub ustnie, to łatwo o opóźnienie albo pominięcie jednego z zadań. Konto główne może zostać zablokowane, podczas gdy dostęp do innego systemu nadal pozostaje aktywny. Bez jednego miejsca do kontroli trudno też sprawdzić, czy offboarding został rzeczywiście zakończony.
Jak powinien wyglądać bezpieczny offboarding?
Offboarding powinien rozpocząć się już w momencie pojawienia się informacji o zakończeniu współpracy. Oczywiście pracownik potrzebuje dostępu do narzędzi przez cały okres wypowiedzenia, ale wcześniejsze przygotowanie pozwoli odebrać je sprawnie i we właściwym momencie. Warto więc uwzględnić kilka kluczowych kroków:
- Zebranie informacji o kontach i uprawnieniach
Należy ustalić, z jakich systemów, aplikacji, dysków i narzędzi korzystał pracownik. Trzeba pamiętać również o dostępie VPN, kontach administracyjnych, aplikacjach zewnętrznych czy współdzielonych zasobach. - Zaplanowanie terminu odebrania dostępów
Warto jasno określić, jakie dostępy mają zostać odebrane, komu zgłosić taką potrzebę oraz w jakim dokładnie terminie powinno to nastąpić. Ogólna informacja o konieczności odebrania dostępów może nie wystarczyć. Potrzebna jest konkretna lista systemów oraz termin wykonania poszczególnych działań. - Przekazanie plików i obowiązków
Przed zakończeniem współpracy należy ustalić, kto przejmie prowadzone projekty. Warto również zadbać o zmianę właścicieli zasobów przypisanych do konta pracownika, aby po jego wyłączeniu pozostały dostępne dla zespołu. - Zablokowanie kont i odebranie uprawnień
Samo zablokowanie głównego konta może nie wystarczyć. Należy także zakończyć aktywne sesje, odebrać dostęp do sieci, aplikacji, danych oraz usunąć pracownika z grup i ról przypisanych w poszczególnych systemach. - Sprawdzenie, czy wszystkie działania zostały wykonane
Na końcu organizacja powinna potwierdzić, że konta zostały zamknięte, sprzęt i identyfikatory zwrócone, a zadania przekazane odpowiednim osobom.
Jak NEDAPS IDM wspiera offboarding pracowników?
Przy większej liczbie systemów centralne zarządzanie tożsamością i dostępami ułatwia koordynację całego procesu. Taką funkcję pełnią rozwiązania klasy IAM w tym NEDAPS IDM.
NEDAPS IDM może automatycznie reagować na zmianę statusu pracownika i odebrać przypisane dostępy po zakończeniu współpracy. W systemach w pełni zintegrowanych odpowiednie operacje mogą zostać wykonane automatycznie, natomiast w przypadku częściowej integracji system może wygenerować zgłoszenie lub powiadomienie dla administratora o konieczności wykonania określonej czynności. Administratorzy zachowują przy tym wgląd w informacje o kontach i rolach pracownika oraz historię działań związanych z uprawnieniami. Automatyzacja pomaga więc zamknąć wszystkie działania we właściwym momencie i ograniczyć ryzyko pozostawienia aktywnych kont.
Jak zamknąć dostęp pracownika po zakończeniu współpracy?
Offboarding nie kończy się wraz ze zwrotem laptopa czy podpisaniem ostatnich dokumentów. Równie ważne jest sprawdzenie, czy pracownik nie zachował dostępu do systemów, aplikacji i danych, z których korzystał podczas zatrudnienia.
Dobrze zaplanowany proces oraz wsparcie NEDAPS IDM pomagają ograniczyć ryzyko pominięć i uporządkować odbieranie dostępów po zakończeniu współpracy.
