Kto odchodzi?
Zachowaj kontrolę.
Zakończenie współpracy wymaga więcej niż zmiany jednego hasła. Przygotuj przekazanie odpowiedzialności, odbierz zbędny dostęp i sprawdź, czy firma nadal może korzystać z danych oraz automatyzacji.
W skrócie
- Wypisz konta osobiste, wspólne i techniczne.
- Przekaż odpowiedzialność przed wyłączeniem dostępu.
- Potwierdź skutki zmiany w każdym ważnym systemie.
Najpierw ustal, do czego prowadzi dostęp.
Zacznij od zadań osoby lub dostawcy: obsługi klientów, utrzymania aplikacji, rozliczeń czy publikowania treści. Do każdego dopisz używane systemy i sposób logowania. Jedno konto firmowe może otwierać kilka usług, ale osobne klucze i lokalne konta mogą działać niezależnie od niego.
- Przy każdym dostępie zapisz system, właściciela, zakres uprawnień i osobę zatwierdzającą zmianę.
- Sprawdź także klucze API, konta techniczne, dostęp zdalny i dane odzyskiwania. Nie wpisuj sekretów do zwykłej tabeli.
Co musi zostać w firmie?
Przekaż dokumenty, repozytoria, panele i odpowiedzialność za integracje osobie, która rzeczywiście je przejmuje. Sprawdź, czy firma ma własną drogę odzyskania konta. Panel domeny, poczty albo hostingu nie powinien zależeć wyłącznie od prywatnego adresu osoby odchodzącej.
Przykład poglądowy: dostawca utrzymywał aplikację, a zadanie kopii korzystało z jego konta. Natychmiastowe usunięcie konta zatrzymałoby kopie. Najpierw ustal nowe konto techniczne i przetestuj zadanie, a następnie odbierz dostęp dostawcy. Przy podejrzeniu nadużycia priorytetem może być natychmiastowe ograniczenie dostępu i zabezpieczenie dowodów.
Wyłączenie logowania to część pracy.
Uzgodnij termin, wykonawcę i kolejność zmian. W zależności od systemu potrzebne może być wyłączenie konta, odebranie ról, zakończenie sesji lub rotacja współdzielonego klucza. Nie zakładaj, że zmiana hasła od razu zamyka każdą aktywną sesję.
Microsoft opisuje osobno tokeny i sesje aplikacji. Sesją wydaną przez aplikację zarządza sama aplikacja. Dlatego sprawdzenie w głównym katalogu tożsamości nie zastępuje kontroli dostępu w pozostałych usługach.
Jak potwierdzić zakończenie?
Zapisz, co zmieniono, kiedy i z jakim wynikiem. Potwierdź odebranie wskazanych uprawnień oraz działanie ważnych procesów po zmianie. Zapis „zrobione” bez listy systemów nie pozwala później ustalić, które dostępy pozostały.
- Czy nowy właściciel może zalogować się i odzyskać dostęp?
- Czy kopie, integracje i zadania działają po zmianie?
- Których systemów nie sprawdzono i kto dokończy ten zakres?
Źródła i dalszy krok
Źródła opisują mechanizmy i dobre praktyki. Nie potwierdzają konfiguracji ani zgodności Twojej firmy. Przykłady w poradniku są poglądowe.
Jeśli chcesz odnieść te pytania do swojej firmy, sprawdź zakres powiązanej usługi. Do rozmowy wystarczy opis sytuacji; nie wysyłaj haseł ani poufnych danych przez formularz.
Sprawdź zakres cyberbezpieczeństwa