Pracownik odchodzi z firmy – co powinno stać się z jego dostępami do danych i systemów?

Menedżer kończy współpracę z firmą, oddaje laptop i kartę wejściową, a dział HR zamyka formalności. Kilka tygodni później okazuje się jednak, iż przez cały czas posiada aktywne konto w systemie CRM i może przeglądać dokumenty na firmowym dysku. Jak uniknąć takich sytuacji, skutecznie odebrać uprawnienia i ustalić, kto odpowiada za cały proces?

Dlaczego aktywne konto byłego pracownika stanowi zagrożenie dla firmy?

Po zakończeniu współpracy pracownik powinien utracić uprawnienia, które nie są mu już potrzebne. Pozostawione konta mogą umożliwiać przeglądanie dokumentacji, pobieranie danych klientów lub wprowadzanie zmian w firmowych aplikacjach.

Najważniejsze zagrożenia to:

• nieuprawniony dostęp do danych – możliwość przeglądania informacji finansowych, handlowych czy personalnych,
• utrata poufnych informacji – ryzyko kopiowania ofert, dokumentacji projektowej lub firmowego know-how,
• modyfikacja lub usunięcie danych – ingerencja w dokumenty i systemy bez odpowiednich uprawnień,
• przejęcie nieaktywnego konta – wykorzystanie pozostawionych danych logowania przez osoby nieuprawnione.

Szczególnej uwagi wymagają konta administracyjne, które pozwalają zarządzać użytkownikami, zmieniać ustawienia bezpieczeństwa i uzyskiwać dostęp do szerszego zakresu informacji.

Zagrożenie nie musi wynikać z celowego działania byłego pracownika. Konto pozostawione bez nadzoru może zostać przejęte również przez osobę trzecią. Dlatego odebranie uprawnień powinno być standardowym elementem zakończenia współpracy, niezależnie od jej przebiegu.

Jakie dostępy należy odebrać po zakończeniu współpracy?

Zablokowanie służbowej poczty nie wystarczy. Pracownicy korzystają z wielu niezależnych aplikacji, a część uprawnień może być nadawana poza centralnym systemem zarządzania IT.

Lista dostępów wymagających weryfikacji powinna obejmować:

• konta firmowe i pocztę – logowanie do sieci organizacji, skrzynki e-mail i powiązanych usług,
• systemy biznesowe – CRM, ERP, programy księgowe, kadrowe i narzędzia do zarządzania projektami,
• dyski i aplikacje chmurowe – dokumenty współdzielone, firmowe repozytoria i platformy zewnętrzne,
• dostęp zdalny – VPN, pulpity zdalne i inne połączenia z infrastrukturą przedsiębiorstwa,
• uprawnienia administracyjne – konta umożliwiające zarządzanie użytkownikami i ustawieniami bezpieczeństwa,
• dostęp fizyczny – karty wejściowe, klucze i inne środki pozwalające korzystać z chronionych pomieszczeń.

Osobnej kontroli wymagają konta współdzielone, do których dostęp ma kilku pracowników. o ile odchodząca osoba znała hasło do takiego konta, panelu administracyjnego lub innej usługi, może być konieczna zmiana danych logowania. Dotyczy to także współdzielonych kluczy i innych danych uwierzytelniających.

Należy również uwzględnić aktywne sesje i tokeny dostępowe. Samo zablokowanie głównego konta nie zawsze automatycznie kończy wszystkie połączenia z zewnętrznymi aplikacjami.

Przykładowo handlowiec może stracić dostęp do poczty, ale przez cały czas pozostawać zalogowany w systemie obsługi klientów na prywatnym telefonie. Dlatego administrator powinien sprawdzić możliwość zakończenia aktywnych sesji i odebrania dostępu w poszczególnych usługach.

Kiedy należy zablokować dostęp odchodzącemu pracownikowi?

Dostęp należy zablokować w momencie, gdy pracownik traci uprawnienie do korzystania z systemów. Nie zawsze jest to dzień rozwiązania umowy, dlatego HR i IT powinny wcześniej uzgodnić termin blokady.

W sytuacjach podwyższonego ryzyka, np. przy natychmiastowym odsunięciu od obowiązków, konieczne może być wcześniejsze odebranie dostępów, zgodnie z przepisami prawa pracy.

Kontroli wymagają również uprawnienia osób zmieniających stanowisko. Pracownik przechodzący do innego działu powinien zachować tylko dostępy potrzebne do nowych obowiązków.

Przed zablokowaniem konta należy też zapewnić ciągłość pracy. jeżeli odchodząca osoba zarządzała projektami, zatwierdzała faktury lub administrowała systemem, jej zadania powinien przejąć wyznaczony następca.

Kto odpowiada za odebranie dostępów – HR, IT czy przełożony?

Pozostawione konta są nierzadko skutkiem braku jasnego podziału obowiązków. HR przekazuje informację o zakończeniu współpracy, ale nie zna wszystkich systemów wykorzystywanych przez pracownika. IT blokuje główne konto, a dostęp do zewnętrznej aplikacji pozostaje aktywny.

Dlatego przedsiębiorstwo powinno określić odpowiedzialność poszczególnych jednostek:

• dział HR – przekazuje informację o zakończeniu współpracy i uzgodnionym terminie odebrania uprawnień,
• bezpośredni przełożony – wskazuje wykorzystywane narzędzia, projekty i zasoby oraz organizuje przekazanie obowiązków,
• dział IT – blokuje konta, odbiera uprawnienia i potwierdza wykonanie czynności technicznych,
• właściciele systemów biznesowych – odpowiadają za odebranie dostępów do aplikacji, którymi nie zarządza centralnie IT.

Podział zadań może wyglądać inaczej w zależności od wielkości i struktury firmy. Każda czynność powinna jednak mieć wskazanego wykonawcę oraz termin realizacji.

Procedura powinna obejmować nie tylko pracowników etatowych, ale również współpracowników B2B, konsultantów i zewnętrznych specjalistów. Ich dostępy także należy odebrać po zakończeniu uprawnionej współpracy.

Co zrobić z firmowym sprzętem, dokumentami i służbową pocztą?

Odebranie dostępów powinno obejmować także rozliczenie sprzętu i przekazanie informacji potrzebnych do dalszej pracy firmy.

• Sprzęt i nośniki danych. Laptop, telefon, karty dostępu i inne firmowe urządzenia powinny zostać zwrócone. jeżeli sprzęt nie wraca do firmy, należy rozważyć jego zdalne zablokowanie lub zabezpieczenie danych, o ile pozwalają na to warunki techniczne i prawne.
• Dokumentacja i pliki. Materiały potrzebne do kontynuowania projektów powinny zostać przekazane upoważnionym osobom, z zachowaniem zasad ochrony danych.
• Służbowa poczta. Blokada konta nie oznacza konieczności usunięcia wszystkich wiadomości. Firma może zachować potrzebną korespondencję, ale jej przechowywanie i udostępnianie musi być zgodne z prawem oraz zasadami ochrony prywatności.

Dla zachowania ciągłości kontaktu z klientami można ustawić automatyczną odpowiedź wskazującą nową osobę kontaktową. Nie uprawnia to jednak do nieograniczonego przeglądania skrzynki byłego pracownika.

Jak sprawdzić, czy wszystkie uprawnienia zostały skutecznie odebrane?

Proces powinien zakończyć się potwierdzeniem wykonania działań, a nie samym wysłaniem zgłoszenia do administratora. Firma musi wiedzieć, które zadania zakończono i czy pozostały dostępy wymagające dodatkowej weryfikacji.

Pomocna jest lista kontrolna obejmująca cztery elementy:

• zakres zadania – które konta, uprawnienia lub zasoby wymagają odebrania,
• osobę odpowiedzialną – kto wykonuje i potwierdza daną czynność,
• termin realizacji – kiedy dostęp powinien zostać zablokowany lub zmieniony,
• potwierdzenie wykonania – kiedy działanie zakończono i czy stwierdzono nieprawidłowości.

W firmach korzystających z centralnego zarządzania tożsamością część działań można zautomatyzować. Zmiana statusu pracownika w systemie HR może uruchamiać blokadę kont w powiązanych aplikacjach.

Nie wszystkie narzędzia są jednak objęte takim rozwiązaniem. Konta założone bezpośrednio w zewnętrznych serwisach wymagają osobnej kontroli, o ile nie są zintegrowane z firmowym systemem.

Przedsiębiorstwo powinno również okresowo przeglądać aktywne konta. Pozwala to wykryć uprawnienia pozostawione po zakończeniu współpracy, zmianie stanowiska lub wygaśnięciu dostępu przyznanego czasowo.

Jak ISO 27001 pomaga uporządkować proces odbierania dostępów?

W firmach korzystających z wielu aplikacji i usług chmurowych kontrola uprawnień wymaga wspólnych zasad. choćby rozbudowane zabezpieczenia techniczne nie zapewnią odpowiedniej ochrony, jeżeli nie wiadomo, kto odpowiada za przyznawanie i odbieranie dostępu.

Takie procesy mogą być częścią systemu zarządzania bezpieczeństwem informacji zgodnego z ISO 27001. Norma ISO/IEC 27001:2022 określa wymagania dotyczące zarządzania ryzykiem związanym z informacjami, wdrażania zabezpieczeń oraz oceny ich skuteczności.

W kontekście zakończenia współpracy szczególnie istotne są:

• kontrola dostępu (A.5.15) – określanie zasad korzystania z informacji i systemów,
• zarządzanie prawami dostępu (A.5.18) – nadawanie, przeglądanie, zmienianie i odbieranie uprawnień,
• zwrot aktywów (A.5.11) – rozliczanie sprzętu i innych zasobów organizacji,
• obowiązki po zakończeniu lub zmianie zatrudnienia (A.6.5) – określanie zobowiązań dotyczących bezpieczeństwa informacji, które przez cały czas obowiązują, np. zachowania poufności.

Zabezpieczenia te znajdują się w załączniku A do ISO/IEC 27001:2022, a szczegółowe wskazówki dotyczące ich stosowania przedstawiono w ISO/IEC 27002:2022.

Organizacja może dzięki temu powiązać proces kadrowy z oceną ryzyka i zarządzaniem dostępami. Przykładowo zakończenie współpracy może wymagać potwierdzenia wykonania zadań przez HR, IT i właścicieli systemów przed formalnym zamknięciem procedury.

Norma nie narzuca jednak wszystkim przedsiębiorstwom jednej instrukcji odbierania kont. Dobór zabezpieczeń powinien wynikać z oceny ryzyka, potrzeb organizacji i zakresu systemu zarządzania bezpieczeństwem informacji.

Certyfikacja ISO/IEC 27001 potwierdza zgodność systemu zarządzania z wymaganiami normy w zakresie objętym certyfikacją, ale nie gwarantuje całkowitego wyeliminowania błędów.

Odejście pracownika powinno kończyć się potwierdzeniem, iż jego uprawnienia zostały odebrane, a informacje i obowiązki odpowiednio przekazane. Jasny podział zadań między HR, IT i przełożonych ogranicza ryzyko pozostawienia aktywnych kont oraz pozwala zachować ciągłość pracy firmy. To właśnie skuteczna koordynacja tych działań decyduje o bezpieczeństwie informacji po zakończeniu współpracy.