Każda zmiana roli wymaga decyzji oraz potwierdzenia
- 01 · ZATRUDNIENIEZatwierdź potrzebny zakresPrzełożony wskazuje zadania i aplikacje. IT przygotowuje imienne konto, urządzenie i MFA.
- 02 · PRACASprawdź odbiórPracownik wykonuje potrzebne czynności i zna kanał pomocy. Wyjątki mają właściciela i termin.
- 03 · NOWA ROLAOdejmij stare uprawnieniaPorównaj zakresy; nie sumuj automatycznie dostępów. Zakończ uzgodniony okres przekazania.
- 04 · ODEJŚCIEZablokuj dostęp i przekaż zadaniaW uzgodnionym momencie zabezpiecz konta i sesje. Przekaż dane następcy przez jego własną tożsamość.
Zacznij od roli i odpowiedzialności
Nowa osoba ma w poniedziałek rozpocząć pracę z ofertami. Skopiowanie wszystkich uprawnień poprzednika wydaje się wygodne, ale może również przekazać dostęp do płac, archiwum i dawnych projektów. Przygotuj krótki wniosek opisujący konkretne zadania, potrzebne aplikacje i osobę zatwierdzającą. Każdy dostęp powinien mieć uzasadnienie, a dostęp tymczasowy także datę przeglądu.
Ustal podział pracy: przełożony potwierdza zakres, administracja zgłasza termin, a IT realizuje i dokumentuje zmianę. W małej firmie role mogą należeć do tych samych osób, lecz decyzja i wykonanie nadal powinny być odnotowane.
Przygotuj pierwszy dzień
Załóż imienne konto i przypisz zatwierdzone grupy. Przygotuj urządzenie z aktualnym systemem, szyfrowaniem i blokadą ekranu. Pierwsze logowanie oraz rejestrację MFA przeprowadź z pracownikiem po potwierdzeniu jego tożsamości. Nie wysyłaj hasła i wszystkich danych odzyskiwania jednym niezweryfikowanym kanałem.
Przećwicz trzy czynności: wejście do właściwego katalogu, bezpieczne udostępnienie dokumentu i zgłoszenie podejrzanej wiadomości. Zapisz odbiór sprzętu i kontakt do pomocy. Pracownik powinien wiedzieć, jak uzyskać pomoc również wtedy, gdy nie działa jego firmowa poczta.
Zmiana stanowiska też wymaga porządku
Przejście ze sprzedaży do administracji nie powinno oznaczać sumowania uprawnień. Porównaj starą i nową rolę, odbierz zbędne grupy, a dopiero potem zatwierdź nowe. Jeśli przekazanie obowiązków wymaga okresu przejściowego, określ jego koniec i właściciela kontroli.
Uwzględnij konta założone poza głównym katalogiem: platformy zakupowe, CRM, narzędzia marketingowe i portale klientów. Logowanie jednym kontem nie oznacza, że każda aplikacja automatycznie odbierze wszystkie lokalne uprawnienia lub unieważni istniejącą sesję.
Odejście wykonaj w ustalonej kolejności
Uzgodnij dokładny moment zakończenia dostępu z osobą odpowiedzialną za zatrudnienie. W tym czasie zablokuj możliwość logowania, unieważnij sesje i wykonaj wymagane przez dostawcę kroki zabezpieczenia konta. Odbierz VPN, dostęp do paneli, tokeny oraz upoważnienia w usługach zewnętrznych. Zmiana samego hasła nie jest uniwersalnym wylogowaniem ze wszystkich aplikacji.
Sprawdź również dostęp fizyczny i sprzęt. Po odejściu osoby znającej wspólne sekrety trzeba ocenić ich zmianę. Automatyzacje korzystające z jej konta należy wcześniej przenieść na właściwą tożsamość techniczną.
Przekaż dane bez przejmowania tożsamości
Wskaż nowego właściciela dokumentów, zespołów i otwartych spraw. Sprawdź, czy dokumenty potrzebne firmie nie pozostają wyłącznie w osobistym katalogu pracownika. Dostęp do korespondencji powinien mieć określony cel, zakres i zatwierdzenie; nie udostępniaj wszystkim całej skrzynki na wszelki wypadek.
Nie zaczynaj od usunięcia konta lub licencji. Najpierw sprawdź zależności, zasady przechowywania i możliwości danej usługi. Przekazanie zadań nie wymaga logowania się jako były pracownik. Zachowaj rozliczalność przez uprawnienia nadane następcy na jego własnym koncie.
Zamknij zadanie dowodem wykonania
Lista zadań powinna zawierać wynik, wykonawcę i czas, a nie samo pole „zrobione”. Potwierdź odebranie dostępów w najważniejszych systemach i przekazanie danych następcy. Zapisz wyjątki, których nie udało się zamknąć, wraz z terminem i odpowiedzialną osobą.
Przykładowy odbiór obejmuje próbę wejścia następcy do dokumentacji projektu oraz kontrolę, że były pracownik nie figuruje w grupie VPN. Po kilku dniach sprawdź alerty i nieoczekiwane próby logowania. Takie zakończenie procesu wykrywa pominięte narzędzia szybciej niż samo skasowanie nazwiska z listy pracowników.
Źródła: NCSC — Identity and access management · Microsoft Learn — Remove a former employee and secure data · Microsoft Learn — Prevent user sign-in and block access