Offboarding IT w dniu odejścia pracownika, dostępy, sprzęt i dane

Zacznij od inwentarza dostępów pracownika. Najlepiej prowadzić go od pierwszego dnia pracy, bo przy odejściu trudno odtworzyć, do czego ktoś miał dostęp.

• Tożsamość i poczta: konto w Google Workspace albo Microsoft 365 (Entra ID), aliasy, grupy dystrybucyjne, skrzynki współdzielone.
• Komunikacja: Slack, Microsoft Teams, komunikatory z kontami firmowymi, systemy wideokonferencji.
• Dokumenty i pliki: dyski współdzielone, OneDrive, SharePoint, Dropbox, repozytoria kodu.
• Systemy biznesowe: CRM, ERP, system księgowy, narzędzia marketingowe, panele klientów.
• Infrastruktura: VPN, konta administracyjne, klucze SSH, dostęp do chmury, tokeny API.
• Hasła i uwierzytelnianie: menedżer haseł, klucze sprzętowe, aplikacje uwierzytelniające.
• Dostęp fizyczny: karty wejściowe, klucze, kody do alarmu, miejsce parkingowe.
• Finanse: służbowe karty płatnicze, konta w serwisach z podpiętą kartą firmy, subskrypcje na nazwisko pracownika.
• Telefon i numery: karta SIM, numer służbowy, konta w aplikacjach powiązane z numerem.
• Konta zewnętrzne: profile firmowe w mediach społecznościowych, domeny, rejestratory, konta u dostawców.

Data i godzina blokady wynikają z daty rozwiązania umowy. Przy zwolnieniu dyscyplinarnym blokada następuje w chwili doręczenia oświadczenia, a przy zwolnieniu z obowiązku świadczenia pracy zwykle w dniu rozpoczęcia zwolnienia. Kolejność ma znaczenie, bo część systemów loguje przez konto główne.

• Najpierw przekazanie: plików, skrzynki i własności dokumentów do przełożonego lub następcy, zanim konto zostanie zablokowane.
• Konta uprzywilejowane i infrastruktura: uprawnienia administracyjne, VPN, klucze SSH i tokeny API.
• Konto główne w Google Workspace albo Microsoft 365: zawieszenie, wylogowanie ze wszystkich sesji, reset haseł, unieważnienie tokenów aplikacji.
• Komunikacja: dezaktywacja w Slacku lub Teams, usunięcie z kanałów zewnętrznych współdzielonych z klientami.
• Systemy logujące hasłem, a nie przez konto główne: każde osobno, według inwentarza.
• Urządzenia mobilne: wyczyszczenie danych firmowych na telefonie przez system zarządzania urządzeniami.
• Dostęp fizyczny i karty płatnicze.
• Na koniec zwolnienie licencji, ale dopiero po upływie okresu przechowania danych.

Najwięcej zapomnianych dostępów kryje się w kontach, które nie należą do jednej osoby: skrzynka biura, profil w serwisie ogłoszeniowym, panel dostawcy, konto administratora w starym narzędziu. Zablokowanie konta głównego nie odbiera dostępu do nich.

• Zmień hasła do wszystkich kont współdzielonych, do których pracownik miał dostęp, także jeśli używał menedżera haseł.
• Usuń jego numer telefonu i adres z metod odzyskiwania dostępu i uwierzytelniania dwuskładnikowego.
• Sprawdź przekierowania poczty i reguły ustawione na koncie przed odejściem.
• Przepisz na inną osobę subskrypcje i domeny zarejestrowane na nazwisko pracownika.

Dane pracy należą do firmy, ale w skrzynce i na dysku mogą znajdować się też prywatne wiadomości. Przed odejściem poproś pracownika o przekazanie bieżących spraw i usunięcie prywatnych plików. Po odejściu ustaw autoodpowiedź z informacją, do kogo kierować sprawy, na ustalony w polityce firmy okres, zamiast utrzymywać aktywną skrzynkę bez końca. Przegląd poczty po odejściu ograniczaj do spraw służbowych i do zasad, o których pracownik był poinformowany (art. 22³ Kodeksu pracy). Dane klientów i projekty przenieś do właściciela procesu, a konto usuń zgodnie z polityką retencji.

Zwrot sprzętu potwierdza protokół zdawczo-odbiorczy sprzętu podpisany przez pracownika i osobę z IT lub przełożonego. Protokół zawiera listę urządzeń z numerami seryjnymi, stan techniczny, akcesoria, datę zwrotu i uwagi o brakach. Gdy pracownik jest na L4 albo pracuje zdalnie, zorganizuj odbiór kurierem i spisz protokół przy rozpakowaniu z udziałem dwóch osób. Pamiętaj, że świadectwa pracy nie wolno uzależniać od zwrotu sprzętu (art. 97 Kodeksu pracy). Rozliczenie ewentualnej szkody to osobna sprawa, prowadzona według przepisów o odpowiedzialności materialnej. Przed ponownym wydaniem urządzenia zrób kopię danych potrzebnych firmie i bezpiecznie wyczyść dysk. Gdy zwrotów jest kilka w miesiącu, IT, przełożony i płace mogą potwierdzać swoje pozycje w elektronicznej karcie obiegowej zamiast w papierowej obiegówce.

RODO wymaga od administratora odpowiednich środków technicznych i organizacyjnych (art. 32), a nieaktualny dostęp byłego pracownika do danych klientów jest typowym naruszeniem bezpieczeństwa. Jeżeli do niego dojdzie, obowiązuje ocena ryzyka i ewentualne zgłoszenie do Prezesa UODO w ciągu 72 godzin (art. 33). Norma ISO/IEC 27001:2022 zawiera zabezpieczenia dotyczące zwrotu aktywów (A.5.11), praw dostępu (A.5.18) i obowiązków po zakończeniu zatrudnienia (A.6.5), a audytor zwykle prosi o dowód, że dostęp wygasł w dniu odejścia. Dyrektywa NIS2 i przepisy krajowe, które ją wdrażają, obejmują wybrane sektory i wymagają od objętych nimi podmiotów zarządzania ryzykiem, w tym kontroli dostępu. Wspólny mianownik jest jeden: lista wykonanych kroków z datą, godziną i osobą odpowiedzialną. Więcej o tym, jak chronimy dane, na stronie bezpieczeństwo danych pracowników.