Odejście pracownika: jak bezpiecznie odebrać dostępy i przejąć dane

Czy wiesz, ile kont byłych pracowników nadal działa w Twojej firmie? Przy przeglądach często wychodzą skrzynki osób, które odeszły dawno temu, aktywne loginy do panelu kuriera albo dostęp do bankowości, którego nikt nie odebrał. Przy odejściu pracownika trzeba jednocześnie zamknąć dostępy i nie stracić danych, z którymi ta osoba pracowała. Poniżej plan krok po kroku.

Dlaczego odbieranie dostępów nie może czekać

Aktywne konto byłego pracownika to ryzyko z dwóch stron. Ta osoba nadal może zalogować się do poczty, plików czy CRM. Zwykle bez złych zamiarów, ale nie zawsze. Do tego konto, którego nikt nie używa i nie pilnuje, jest łatwym celem dla atakującego, bo jego przejęcie długo pozostanie niezauważone.

Jest też wymiar prawny. Dane osobowe klientów i pracowników mogą być dostępne tylko dla osób upoważnionych, a byli pracownicy takiego upoważnienia już nie mają.

Odejście pracownika: plan działania

Etap 1: po złożeniu wypowiedzenia

1. Kadry informują IT o dacie ostatniego dnia pracy, ewentualnym zwolnieniu z obowiązku świadczenia pracy, przełożonym i osobie przejmującej obowiązki.
2. IT przygotowuje wykaz kont i uprawnień pracownika: katalog, poczta, ERP, systemy branżowe, aplikacje SaaS, bankowość, dostępy u kontrahentów, konta w firmowych mediach społecznościowych.
3. Przełożony ustala, kto przejmuje pocztę, pliki, zadania i kontakty z klientami. Pracownik porządkuje dokumenty i przenosi je z dysku lokalnego do zasobów firmowych.
4. Jeśli rozstanie jest konfliktowe albo pracownik ma szerokie uprawnienia, dostępy trzeba ograniczyć wcześniej, nawet od razu.

Etap 2: ostatni dzień pracy

1. Konto główne blokujesz o ustalonej godzinie, najlepiej po wyjściu pracownika. Blokujesz, nie usuwasz, bo usunięcie konta może oznaczać utratę skrzynki i plików.
2. Unieważniasz sesje i tokeny. Sama blokada konta nie zawsze wylogowuje z aplikacji mobilnych. W Microsoft 365 można wymusić wylogowanie ze wszystkich sesji.
3. Usuwasz metody MFA i urządzenia, zwłaszcza jeśli pracownik używał prywatnego telefonu.
4. Odbierasz sprzęt według protokołu z dnia przyjęcia: laptop, telefon, kartę SIM, tokeny, kartę dostępu, klucze.
5. Zmieniasz hasła współdzielone. Każde hasło, które znał pracownik (do Wi-Fi, kont serwisowych, paneli dostawców), trzeba zmienić. Firmowy menedżer haseł pokaże, do których sejfów miał dostęp.

Etap 3: pierwszy tydzień po odejściu

• Przekierowanie poczty lub automatyczna odpowiedź z kontaktem do następcy.
• Dostęp przełożonego do skrzynki i OneDrive na ustalony czas.
• Usunięcie z grup, list dystrybucyjnych, zespołów w Teams i kanałów komunikacyjnych.
• Odebranie dostępów w systemach zewnętrznych: portalach klientów i dostawców, platformach przetargowych, bankowości.
• Zwolnienie licencji. Tu leżą konkretne oszczędności, bo za nieużywane licencje firmy często płacą latami.

Etap 4: po okresie przejściowym

Po ustalonym czasie, np. kilku tygodniach lub miesiącach, archiwizujesz dane zgodnie z zasadami retencji i usuwasz konto. Laptop przed ponownym przydziałem przechodzi bezpieczne wyczyszczenie i reinstalację systemu.

Jak przejąć dane i nie złamać przepisów

Skrzynka służbowa zawiera korespondencję firmową, ale czasem też prywatne wiadomości. Dostęp do niej po odejściu pracownika powinien wynikać z jasnych zasad zapisanych w regulaminie lub polityce bezpieczeństwa, znanych pracownikom wcześniej. Przekierowanie poczty i automatyczna odpowiedź są zwykle bezpieczniejsze niż przeglądanie całej historii skrzynki.

Pliki z dysku lokalnego najlepiej przenieść jeszcze przed ostatnim dniem. Jeśli firma przekierowuje foldery do OneDrive lub na serwer, problem w dużej mierze znika.

Gdy odchodzi osoba z szerokimi uprawnieniami

Szczególnej uwagi wymaga odejście administratora, członka zarządu, głównej księgowej czy handlowca z dostępem do całej bazy klientów. Lista ich dostępów jest dłuższa i trudniej ją odtworzyć.

• Konta administracyjne w systemach, sieci i chmurze: zmień hasła do kont serwisowych i klucze dostępowe, sprawdź, czy nie powstały dodatkowe konta.
• Uprawnienia w bankowości elektronicznej i pełnomocnictwa. Tu decyzję podejmuje zarząd, a IT tylko technicznie ją wykonuje.
• Domeny, konta u dostawców i w usługach chmurowych zarejestrowane na prywatny adres lub telefon pracownika trzeba przenieść na dane firmowe.
• Uprawnienia w KSeF i innych systemach państwowych, nadane imiennie.

Jeśli odchodzi jedyny informatyk w firmie, zaplanuj przekazanie wiedzy z wyprzedzeniem: hasła w menedżerze, schemat sieci, lista dostawców i umów. To dobry moment, by zastanowić się, czy outsourcing IT nie zmniejszy zależności od jednej osoby.

Najczęstsze błędy

Pierwszy to brak informacji od kadr. IT dowiaduje się o odejściu po tygodniach, gdy ktoś zapyta o wolną licencję. Zgłoszenie odejścia musi być obowiązkowym krokiem procesu kadrowego.

Drugi: zapomniane systemy poza katalogiem. Konto w Microsoft 365 jest zablokowane, ale dostęp do sklepu internetowego, panelu reklamowego czy portalu dostawcy działa dalej, bo logowanie nie było zintegrowane.

Trzeci to natychmiastowe usunięcie konta. Skrzynka i pliki znikają, a po tygodniu okazuje się, że były tam umowy z klientem.

Czwarty błąd zdarza się przy sprzęcie: następca dostaje ten sam laptop bez czyszczenia. Na dysku zostają dane, hasła zapisane w przeglądarce i profile, do których nowa osoba nie powinna mieć dostępu.

Handlowiec odszedł, system ofertowy został otwarty

Typowy scenariusz wygląda tak. W firmie usługowej handlowiec odchodzi do konkurencji. Konto pocztowe zostaje zablokowane w dniu odejścia, ale nikt nie pamięta, że miał on osobne logowanie do systemu ofertowego dostępnego przez przeglądarkę. Przez kilka tygodni to konto pozostaje aktywne. Gdy sprawa wychodzi na jaw, rozsądną reakcją jest spisanie wszystkich systemów z osobnym logowaniem, dołączenie tej listy do procedury odejścia i tam, gdzie się da, przejście na logowanie kontem firmowym.

Odbieranie dostępów jest łatwiejsze, gdy przy przyjęciu wszystko zostało zapisane. Dlatego tę procedurę dobrze połączyć z checklistą IT dla nowego pracownika. Jeśli chcesz uporządkować dostępy w firmie i mieć pewność, że byli pracownicy nie mają już kont, porozmawiajmy o obsłudze IT Twojej firmy.

Pytania o konta i sprzęt byłych pracowników

Czy konto byłego pracownika trzeba od razu usunąć?

Nie. Najpierw je zablokuj, przekaż dostęp do danych i ustaw przekierowanie poczty. Usunięcie zaplanuj po okresie przejściowym, gdy dane są zarchiwizowane lub przeniesione.

Jak długo przechowywać skrzynkę byłego pracownika?

Firma powinna to określić w swoich zasadach retencji, biorąc pod uwagę potrzeby biznesowe, obowiązki przechowywania dokumentów i zasadę minimalizacji danych z RODO. Jednego terminu dobrego dla wszystkich nie ma.

Co zrobić, gdy pracownik nie oddaje sprzętu?

Zablokuj urządzenie zdalnie, jeśli jest zarządzane centralnie, i upewnij się, że dysk jest zaszyfrowany. Dalsze kroki to sprawa kadrowa i prawna. Pomoże w niej podpisany wcześniej protokół przekazania.