Konto pracownika po odejściu — lista rzeczy do zamknięcia

Konto po byłym pracowniku rzadko bywa zagrożeniem dlatego, że ktoś chce zaszkodzić. Jest zagrożeniem dlatego, że nie ma właściciela, który zauważy, że coś się z nim dzieje. Nikt nie sprawdza, czy ktoś się na nie loguje. Nikt nie zmienia hasła. Nikt nie zgłosi, że przychodzi tam dziwna poczta.

Do tego dochodzi rzecz prostsza: hasła bywają używane ponownie. Wyciek z zupełnie innego serwisu sprzed trzech lat wystarcza, żeby ktoś obcy wszedł na konto, o którym w firmie już nikt nie pamięta.

Ta notatka to lista do skopiowania. Nie ma w niej niczego odkrywczego — jej wartość polega na tym, że jest kompletna i istnieje przed dniem, w którym będzie potrzebna.

Tego samego dnia

Kolejność ma znaczenie: najpierw to, co daje dostęp z zewnątrz.

• Dostęp zdalny — VPN, zdalny pulpit, wszystko, czym da się wejść do sieci firmowej spoza biura.
• Konto w domenie / katalogu — wyłączone, nie skasowane. O tym niżej.
• Poczta — zablokowane logowanie, ale skrzynka zachowana.
• Uwierzytelnianie wieloskładnikowe — usunięte powiązane urządzenia, inaczej telefon byłego pracownika nadal generuje ważne kody.
• Aktywne sesje — wylogowanie ze wszystkich urządzeń. Samo wyłączenie konta nie kończy sesji już otwartych; w części usług trwają one tygodniami.
• Usługi chmurowe kupowane poza działem IT — narzędzia projektowe, dysk, komunikator, CRM, system do faktur. To najczęstsza luka, bo te konta zakładali sami użytkownicy.

W ciągu paru dni

• Klucze SSH i tokeny dostępowe — usunięte z serwerów i repozytoriów. Klucz nie przestaje działać przez wyłączenie konta w domenie.
• Hasła współdzielone, które ta osoba znała. Jeżeli firma ma menedżer haseł — odebranie dostępu wystarczy. Jeżeli nie ma, trzeba je wymienić, bo hasło raz udostępnione jest hasłem spalonym.
• Dostęp fizyczny — karta do drzwi, klucze, kod do alarmu.
• Sprzęt — laptop, telefon, nośniki. Warto spisać numery seryjne przy wydaniu, bo przy zwrocie nikt już nie pamięta, co komu wydano.
• Przekierowanie poczty na osobę przejmującą obowiązki, z ustaloną datą wyłączenia. Bez daty takie przekierowania działają latami.
• Numer telefonu firmowego — przeniesiony albo wygaszony, ale świadomie: numer bywa powiązany z odzyskiwaniem dostępu do kont.
• Podpisy i uprawnienia w bankowości, jeżeli osoba je miała.

Rzeczy, o których zapomina się najczęściej

Automatyzacje i zadania działające na jej koncie. Skrypt kopii zapasowej, zadanie w harmonogramie, integracja między systemami, reguła przekazująca raporty. Wyłączenie konta zatrzymuje je wszystkie — czasem po cichu, i firma dowiaduje się o tym po miesiącu.

Dlatego przed wyłączeniem warto sprawdzić, czy to konto czegoś nie uruchamia. Jeżeli tak, najpierw przeniesienie na konto techniczne, dopiero potem wyłączenie.

Konta w serwisach zewnętrznych zarejestrowane na adres firmowy — domeny, hosting, certyfikaty, konta u dostawców. To bywa najboleśniejsze, bo odzyskanie dostępu do domeny zarejestrowanej na adres byłego pracownika potrafi trwać tygodniami.

Dostęp do dokumentów udostępnionych „każdemu z linkiem”. Wyłączenie konta nie unieważnia takich odsyłaczy.

Wyłączyć, nie kasować

Konto należy wyłączyć i zostawić, a nie usunąć od razu. Powody są trzy:

1. Usunięcie konta w części systemów kasuje razem z nim historię, uprawnienia do plików i powiązania, których potem nie da się odtworzyć.
2. Przez pierwsze tygodnie regularnie okazuje się, że coś było powiązane z tym kontem.
3. Przy sporze albo kontroli może być potrzebny dostęp do korespondencji.

Rozsądny termin usunięcia to kilka miesięcy po odejściu, ustalony z góry i zapisany. Bez zapisanego terminu konto zostaje na zawsze — i wracamy do punktu wyjścia.

Jak sprawić, żeby to działało

Lista powyżej jest bezużyteczna, jeżeli powstaje w dniu rozstania. Dwie rzeczy, które sprawiają, że działa:

Powiąż ją z procesem kadrowym. Osoba prowadząca sprawy pracownicze wie o odejściu wcześniej niż osoba od IT. Jeżeli informacja nie przechodzi automatycznie, przechodzi przypadkiem.

Prowadź listę dostępów przy zatrudnianiu, nie przy zwalnianiu. Odtwarzanie po fakcie, kto do czego miał dostęp, jest znacznie trudniejsze niż dopisywanie na bieżąco. To ten sam dokument czytany od drugiej strony.