Offboarding IT: co łatwo przeoczyć, gdy pracownik odchodzi? Dostępy, sprzęt i dane

Jednym z częstszych problemów jest brak informacji o zakończeniu współpracy. Nawet jeśli firma ma procedurę offboardingu, nie zadziała ona, gdy dział IT nie otrzyma zgłoszenia.

 

W mniejszych organizacjach informacja może zostać przekazana ustnie lub po prostu umknąć. Zdarza się, że IT dowiaduje się o odejściu dopiero podczas wizyty w firmie, gdy zauważa nieobecność pracownika i dopytuje, czy nadal jest zatrudniony.

Co zrobić?

• Ustal, kto i w jakim terminie zgłasza odejście do IT.
• Przygotuj jedną procedurę obejmującą konta, sprzęt, pocztę i aplikacje.
• Wyznacz osobę odpowiedzialną za potwierdzenie wykonania czynności.
• Określ, kto zatwierdza termin blokady i kto przejmuje obowiązki.

Procedura powinna działać również w małej firmie, w której sprawami kadrowymi zajmuje się sekretariat lub osoba administrująca zatrudnieniem.

Sprawdź naszą ofertę outsourcingu IT

Wyłączenie konta domenowego nie zawsze dezaktywuje dostęp do wszystkich aplikacji. Dotyczy to szczególnie systemów ERP i oprogramowania specjalistycznego, które nie korzystają z firmowego mechanizmu logowania.

 

Z naszego doświadczenia

W większych firmach problem pojawia się w systemach księgowych, takich jak Optima, czy w oprogramowaniu produkcyjnym. Dezaktywacja konta domenowego nie oznacza automatycznie, że użytkownik został wyłączony również w tych aplikacjach. W mniejszych firmach zdarza się, że kilka osób korzysta z jednego konta. Wtedy odebranie dostępu jednej osobie może wymagać zmiany danych logowania dla pozostałych.

 

Co zrobić?

• Sprawdź wszystkie systemy, z których korzystał pracownik, również te niezintegrowane z domeną.
• Zweryfikuj aktywne sesje, tokeny i konta współdzielone. W razie potrzeby unieważnij sesje i zmień dane logowania.
• Sprawdź konta zewnętrzne, np. domeny, hosting, panele reklamowe i profile firmowe.
• Zweryfikuj zgody OAuth oraz dostęp aplikacji zewnętrznych do danych firmowych.
• Odbierz uprawnienia administracyjne i sprawdź dostęp do menedżerów haseł, kluczy SSH, tokenów API i metod MFA.
• Ustal nowych właścicieli zespołów Microsoft Teams, grup Microsoft 365 i innych zasobów.

Warto również sprawdzić urządzenia wykorzystywane do uwierzytelniania, np. telefony z Microsoft Authenticator i klucze bezpieczeństwa FIDO2, oraz odebrać lub zresetować przypisane do pracownika metody MFA.

Microsoft 365 dla firm – sprawdź, co warto wdrożyć i w jakiej kolejności

Po odejściu pracownika jego skrzynka może nadal otrzymywać wiadomości od klientów i dostawców. Jeśli nikt jej nie obsługuje, zamówienie może pozostać bez odpowiedzi, a klient będzie czekał na realizację, nie wiedząc, że jego wiadomość nie została zauważona. Spotykaliśmy się z takimi sytuacjami.

 

Co zrobić?

• Sprawdź reguły przekierowania i ustawienia poczty.
• Ustal, kto przejmuje korespondencję i bieżące sprawy.
• W razie potrzeby skonfiguruj automatyczną odpowiedź z nowym kontaktem.
• Zdecyduj, czy skrzynka ma zostać zachowana, zarchiwizowana czy usunięta.
• W Microsoft 365 rozważ konwersję skrzynki na współdzieloną (Shared Mailbox) lub zachowanie jej jako Inactive Mailbox. Pierwsze rozwiązanie umożliwia dalszą obsługę korespondencji, drugie służy zachowaniu danych na potrzeby retencji. Przed zwolnieniem licencji sprawdź limity pojemności i wymagania licencyjne.
• Pamiętaj o przekazaniu obsługi numeru telefonu służbowego.

Pamiętaj o danych i prywatności. Odzyskanie usuniętej skrzynki Exchange Online jest standardowo możliwe przez 30 dni. W OneDrive domyślny okres przechowywania danych po usunięciu konta również wynosi 30 dni, ale administrator może go zmienić. Zasady retencji i blokady przechowywania mogą wydłużyć ten okres. Przed usunięciem konta sprawdź konfigurację i zabezpiecz potrzebne dane.

Skrzynka może zawierać prywatną korespondencję, dlatego dostęp do niej powinien być ograniczony i zgodny z art. 22³ Kodeksu pracy oraz RODO. Należy uwzględnić m.in. zasadę minimalizacji danych, ograniczenia celu i czasu ich przechowywania oraz dostęp wyłącznie dla upoważnionych osób. Nie oznacza to konieczności natychmiastowego usunięcia wszystkich danych pracownika.

Odzyskanie sprzętu nie oznacza, że można od razu przekazać go nowemu pracownikowi. Urządzenie może być powiązane z kontem byłego użytkownika lub wymagać dodatkowych informacji do ponownej konfiguracji.

 

Z naszego doświadczenia

Pracownik oddał komputer i telefon służbowy, ale bez kodu PIN i danych do konta iCloud. IT nie mogło odblokować urządzenia ani przywrócić ustawień fabrycznych. Po zgłoszeniu sprawy do Apple i przedstawieniu faktury potwierdzającej własność telefonu udało się usunąć blokadę aktywacji i przygotować urządzenie do ponownego użycia. Warto pamiętać, że faktura nie zawsze wystarczy – decyzja zależy od urządzenia i procedur producenta.

Co zrobić?

• Prowadź aktualną ewidencję sprzętu przypisanego do użytkowników.
• Przy zwrocie sprawdź urządzenie, akcesoria i powiązania z kontami.
• Zabezpiecz dane firmowe i upewnij się, że urządzenie można bezpiecznie wyczyścić.
• Rozważ zarządzanie urządzeniami przez MDM, np. Microsoft Intune, oraz odpowiednie zarządzanie urządzeniami Apple w Apple Business Manager.
• Sprawdź, czy urządzenia są prawidłowo przypisane do organizacji i skonfigurowane do ponownego użycia.
• Uwzględnij urządzenia prywatne (BYOD), które miały dostęp do firmowych danych.

Warto rozróżnić urządzenia zarejestrowane w MDM, urządzenia nadzorowane (Supervised) oraz przypisane do organizacji w Apple Business Manager. W przypadku odpowiednio skonfigurowanych urządzeń administrator może korzystać z funkcji zarządzania blokadą aktywacji dostępnych w narzędziach Apple i MDM. Samo wdrożenie MDM nie gwarantuje jednak usunięcia każdej blokady.

Jeśli ważne dokumenty znajdują się wyłącznie na komputerze pracownika, firma może stracić dostęp do informacji potrzebnych do dalszej pracy.

 

Odnotowaliśmy nawet przypadek celowego usunięcia danych przez pracownika kończącego współpracę, których wcześniej nie zabezpieczono kopią zapasową.

Co zrobić?

• Sprawdź, czy ważne dokumenty znajdują się w firmowych zasobach.
• Ustal, kto przejmuje dane i bieżące obowiązki.
• Zweryfikuj, czy kopie zapasowe obejmują dane użytkownika i czy można je odtworzyć.
• Sprawdź możliwości odzyskania danych z firmowych systemów, np. kosza, wersjonowania lub kopii zapasowych Microsoft 365 i SharePoint, jeśli są wykorzystywane.
• Sprawdź dane przechowywane w OneDrive byłego pracownika, w tym możliwość ich przejęcia przez uprawnioną osobę oraz zasady przechowywania i odzyskiwania plików.
• Przed ponownym przygotowaniem urządzenia zabezpiecz informacje potrzebne firmie.

Ważne jest nie tylko wykonanie kopii zapasowej, ale również sprawdzenie, czy obejmuje właściwe dane i czy ich odtworzenie jest możliwe. Sama synchronizacja plików nie zastępuje niezależnej kopii zapasowej.

Przeczytaj o złotej zasadzie tworzenia kopii zapasowych

Offboarding ma również wymiar finansowy. Jeśli firma nie sprawdzi licencji przypisanych do odchodzącego pracownika, może nadal za nie płacić. Zdarza się, że dla nowej osoby zamawiana jest kolejna licencja, podczas gdy poprzednia pozostaje aktywna i niewykorzystywana.

 

Co zrobić?

• Sprawdź licencje przypisane do odchodzącego pracownika.
• Ustal, które można zwolnić lub przypisać nowemu pracownikowi.
• Zweryfikuj, czy nowy pracownik może korzystać z istniejącej licencji.
• Przed zwolnieniem licencji upewnij się, że dane i skrzynka pocztowa zostały zabezpieczone.
• Uwzględnij licencje w checkliście offboardingu.

Pamiętaj, że zwolnienie licencji przypisanej użytkownikowi nie zawsze oznacza możliwość natychmiastowego obniżenia kosztów. Przy subskrypcjach rocznych z zobowiązaniem firma może nadal ponosić opłaty do końca okresu umowy. Możliwość zmniejszenia liczby licencji zależy od warunków subskrypcji.

Przed zamknięciem procesu sprawdź, czy:

 

• IT otrzymało informację o odejściu i ustalono termin blokady.
• Konto zostało zablokowane we właściwym terminie.
• Odebrano dostęp do poczty, VPN, aplikacji i systemów specjalistycznych.
• Sprawdzono aktywne sesje, tokeny, zgody OAuth i konta współdzielone.
• Odebrano uprawnienia administracyjne i zweryfikowano metody MFA.
• Sprawdzono właścicieli zespołów Teams, grup Microsoft 365 i innych zasobów.
• Odebrano sprzęt i porównano go z ewidencją.
• Zabezpieczono firmowe dane, w tym dane w OneDrive, i sprawdzono możliwość ich odzyskania.
• Ustalono obsługę poczty i bieżących spraw.
• Sprawdzono konta zewnętrzne i metody odzyskiwania dostępu.
• Zweryfikowano licencje, warunki subskrypcji i zaplanowano ich zwolnienie lub przeniesienie.
• Udokumentowano wykonanie czynności.