Co naprawdę dzieje się z dostępem, kiedy ktoś odchodzi z firmy?

Dlaczego wyłączenie maila nie wyłącza wszystkiego

Wyobraź sobie firmę jako budynek z wieloma drzwiami. Przez lata większość ważnych drzwi dzieliła jeden klucz główny: główne firmowe logowanie, często powiązane z mailem. Wyłączenie go blokowało dostęp do większości rzeczy. To wciąż prawda dla aplikacji podłączonych do tego głównego klucza.

Problem w tym, że nowoczesna firma ma mnóstwo drzwi, które nigdy nie zostały do niego podłączone. Menedżer marketingu zakłada konto w narzędziu do projektowania na firmową kartę. Lead sprzedażowy kupuje aplikację do umawiania spotkań i zaprasza cały zespół. Żadne z tych działań niekoniecznie przechodzi przez centralne IT, a co ważniejsze, żadna z tych aplikacji automatycznie nie zauważa, kiedy główny klucz zostaje wyłączony.

Kiedy więc mail zostaje wyłączony, aplikacje spięte z głównym logowaniem gasną, a reszta dalej działa na własnych, osobnych kluczach. Dana osoba może już nie czytać firmowej poczty, a mimo to bez problemu zalogować się do narzędzia do projektowania, udostępnionych plików czy panelu analitycznego. Nikt świadomie nie zostawił tych drzwi otwartych. One po prostu nigdy nie były częścią wyłącznika. Tutaj zwykle ukrywa się dostęp, który wciąż działa.

Aplikacje podłączone poza głównym systemem logowania

To narzędzia, które zespół wdrożył samodzielnie: trackery projektów, pakiety do projektowania, platformy marketingowe, narzędzia dla klientów. Każde z nich prowadzi własną listę osób z dostępem. Jeśli aplikacja nigdy nie została podłączona do firmowego logowania, wyłączenie maila niczego w niej nie zmienia. Konto osoby odchodzącej pozostaje aktywne, dopóki ktoś nie przypomni sobie, że istnieje, i go nie usunie.

Prywatne loginy

Wiele osób zakłada konta w narzędziach do pracy na prywatny adres mailowy, czasem dlatego, że tak było szybciej, czasem dlatego, że firma nigdy nie wydała im konta. Firmowe dane trafiają na konto, którego firma nie widzi i nie może wyłączyć, bo formalnie jest to prywatne konto danej osoby. Kiedy odchodzi, to konto i dane w nim zawarte odchodzą razem z nią.

Współdzielone hasła

Niektóre systemy nigdy nie zostały skonfigurowane z osobnym kontem dla każdej osoby. Zamiast tego zespół dzieli jedno logowanie: jedno hasło do konta w mediach społecznościowych, jedno do starego narzędzia sprzed wszystkich obecnych pracowników. Kiedy odchodzi osoba znająca to hasło, hasło wciąż działa. Dopóki nie zostanie zmienione, ona nadal może się zalogować, tak samo jak każdy, komu kiedykolwiek je przekazała.

Konta kontraktorów i freelancerów

Kontraktorzy, agencje i freelancerzy dostają dostęp, żeby wykonać zadanie, a potem współpraca się kończy. Ponieważ nigdy nie byli pracownikami etatowymi, często całkowicie omijają standardowy proces joiner-mover-leaver. Ich konta łatwo założyć i łatwo o nich zapomnieć, dlatego zwykle zostają długo po zakończeniu pracy.

Na czym naprawdę polega ryzyko

Warto tu zachować trzeźwe spojrzenie, bo ten temat wywołuje zarówno panikę, jak i lekceważenie, a żadne z nich nic nie daje.

Ryzykiem niemal nigdy nie jest sfrustrowany były pracownik knujący zemstę. Takie sytuacje się zdarzają, ale rzadko. Codzienne ryzyko jest bardziej przyziemne i znacznie częstsze: zostawione otwarte drzwi, przez które prędzej czy później ktoś przejdzie.

Aktywne konto osoby, która już u Ciebie nie pracuje, jest słabym punktem niezależnie od tego, czy ta osoba jeszcze kiedykolwiek z niego skorzysta. To jeden login więcej, który da się odgadnąć, wyłudzić phishingiem albo kupić z wycieku danych, a ponieważ nikt go nie pilnuje, włamanie przez stare konto może pozostać niezauważone przez długi czas. Konto nie musi zostać nadużyte przez swojego pierwotnego właściciela, żeby wyrządzić szkodę.

Jest też cichszy koszt. Były pracownik wciąż obecny we wspólnym czacie czy na dysku nadal widzi bieżące firmowe informacje długo po odejściu, czasem już u konkurencji. A dane trzymane na prywatnym koncie po prostu odchodzą razem z tą osobą, bez żadnej złej woli.

W ankiecie wśród ponad tysiąca pracowników 83% przyznało, że wciąż ma jakiś dostęp do konta u poprzedniego pracodawcy (Beyond Identity, 2022). Ponieważ respondenci oceniali się sami, dokładną liczbę traktuj jako mocny sygnał, a nie twardy pomiar. Liczy się kierunek: zachowanie dostępu po odejściu jest normą, nie wyjątkiem. Dla każdej firmy pytaniem wartym zadania jest, ile tego dzieje się właśnie teraz i czy w ogóle byś o tym wiedział.

Jak wygląda czyste odejście z Twojej perspektywy

Nie musisz patrzeć, jak konta są wyłączane. Musisz wiedzieć, że istnieje niezawodny proces i że ktoś za niego odpowiada. Z perspektywy lidera czyste odejście ma cztery widoczne cechy.

Istnieje lista, niemal kompletna. Gdzieś istnieje inwentarz aplikacji, których używa firma, i osób, które mają do nich dostęp. Nie musi być idealny, ale musi istnieć i być na bieżąco aktualizowany. Bez listy offboarding staje się testem pamięci, a pamięć zawsze przegrywa.

Każdy ważny system ma wskazanego właściciela. Za każdą aplikację, która przechowuje wrażliwe dane albo pieniądze, odpowiada jedna konkretna osoba, w tym za usuwanie osób odchodzących. Dostęp, za który odpowiadają wszyscy ogólnie, nie ma konkretnego właściciela, i tak właśnie powstają konta osierocone.

Zamykanie dostępu to rutyna. Kiedy wiadomo, że ktoś odchodzi, uruchamia się standardowa checklista: wyłączenie firmowego logowania, zamknięcie aplikacji spiętych z głównym kluczem, obsłużenie kont poza nim, zmiana współdzielonych haseł, usunięcie dostępu kontraktorów. Za każdym razem przebiega tak samo, więc nic nie zależy od tego, kto akurat ma dyżur.

Ktoś potrafi udowodnić, że drzwi są zamknięte. Po odejściu pracownika firma potrafi odpowiedzieć na pytanie „czy ta osoba została w pełni usunięta" dowodem, a nie wzruszeniem ramion. W regulowanej branży audytor albo ubezpieczyciel może zapytać dokładnie o to, a „wydaje nam się, że tak" się nie obroni.

Jeśli Twój offboarding ma te cztery cechy, jesteś w dobrym miejscu. Jeśli nie ma żadnej z nich, polegasz na szczęściu, a dane z ankiety sugerują, że szczęście się kończy.

Co warto wdrożyć

Nic z tego nie wymaga dużego programu ani nowego działu. Firma z segmentu mid-market może zamknąć większość luki kilkoma decyzjami.

• Prowadź inwentarz aplikacji i osób z dostępem do nich. Zacznij od systemów, które przechowują dane klientów, pieniądze albo własność intelektualną. Prosta, aktualna lista bije idealną, która nigdy nie powstanie.
• Podłącz ważne aplikacje do centralnego logowania. Im więcej kluczowych aplikacji siedzi za jednym firmowym logowaniem, tym więcej wyłącza się razem, kiedy ktoś odchodzi. To pojedynczy ruch o najwyższej dźwigni i temat powiązanego przewodnika o automatyzacji cyklu życia użytkownika.
• Ograniczaj współdzielone hasła. Tam, gdzie zespół dzieli jedno logowanie, przejdź na jedno konto na osobę tam, gdzie to możliwe, a dla faktycznie wspólnych kont używaj menedżera haseł, żeby hasło dało się zrotować, kiedy ktoś odchodzi.
• Włącz kontraktorów w ten sam proces co pracowników. Ustal, kto odpowiada za każdą relację z kontraktorem, i zrób z usunięcia jego dostępu zdefiniowany krok na koniec współpracy.
• Rób okresowy przegląd. Raz lub dwa razy w roku niech ktoś potwierdzi, że osoby, które odeszły, faktycznie zniknęły z głównych systemów. To wyłapuje to, co ominął bieżący proces, i pokazuje, czy on w ogóle działa.

O co zapytać swoją osobę od IT

Wszystko to możesz sprawdzić w krótkiej rozmowie. Dobre odpowiedzi są konkretne i spokojne. Wymijające albo obronne odpowiedzi pokazują, gdzie są luki.

• „Kiedy ktoś odchodzi, co dokładnie zostaje wyłączone, a co zostaje otwarte?" Dobra odpowiedź wymienia systemy podpięte pod centralne logowanie i przyznaje, które trzeba obsłużyć osobno. Odpowiedź „wszystko, automatycznie" bez żadnych szczegółów warto drążyć dalej.
• „Czy mamy listę wszystkich aplikacji, z których korzystają ludzie, i tego, kto ma do nich dostęp?" Dobrze wygląda to jako prowadzony na bieżąco inwentarz, choćby prosty arkusz. „To głównie siedzi w głowach ludzi" to szczera wersja odpowiedzi „nie".
• „Ile naszych ważnych aplikacji jest podłączonych do firmowego logowania?" Im wyższy udział, tym więcej zamyka się automatycznie. Niski wynik pokazuje po prostu, ile jest jeszcze do zrobienia, a nie że coś zawiodło.
• „Gdzie wciąż współdzielimy hasła i co się z nimi dzieje, kiedy ktoś odchodzi?" Chcesz usłyszeć, że współdzielonych haseł jest niewiele, że są ewidencjonowane i zmieniane przy każdym odejściu.
• „Jak obsługujemy odejścia kontraktorów i freelancerów?" Dobrze wygląda to jako wskazany właściciel i zdefiniowany krok usunięcia dostępu. Cisza w odpowiedzi na to pytanie zdarza się często i warto ją naprawić.
• „Gdyby audytor poprosił nas o dowód, że konkretna osoba została w pełni usunięta, dalibyśmy radę?" To pytanie sprawdza, czy proces produkuje dowody, a nie tylko dobre intencje.

Źródła

• Beyond Identity, "The Great Reshuffle" former-employee access survey (2022, self-reported, n=1,121) · https://www.beyondidentity.com/resources/great-reshuffle-cybersecurity (potwierdza wynik 83% pracowników, którzy zgłosili, że wciąż mają dostęp do konta u byłego pracodawcy)