Deaktivace účtu v adresáři (Entra ID / Active Directory) zablokuje přihlášení, ale nemusí zrušit delegovaná oprávnění, pravidla přeposílání, aplikace OAuth ani členství v kanálech v Teams, která si tento zaměstnanec nashromáždil. Offboarding Express přesně ověří, co zůstává aktivní i mimo adresář.
Deaktivovaný účet neznamená, že je zaměstnanec zcela odpojen od vašich systémů
Zablokování přihlášení v adresáři zastaví přímý přístup, ale delegovaná oprávnění ke sdíleným schránkám nebo pravidla přeposílání, která si nastavil, mohou zůstat aktivní nezávisle na účtu.
Zaměstnanec mohl povolit aplikace třetích stran (kalendář, CRM, rozšíření prohlížeče), které si zachovávají přístup k datům společnosti nezávisle na jeho uživatelském účtu.
Členství v týmech, kanálech a v souvisejících sdílených souborech často přetrvává dlouho po posledním pracovním dni, aniž by na to upozornilo jakékoli varování.
Bez systematické kontroly při každém odchodu se tyto zbytkové přístupy v průběhu let hromadí a stávají se zapomenutými vstupními body, které z adresáře nejsou vidět.
Ověřovací modul napříč více rozhraními, stejný jako u auditu M365 od SYAGA, použitý na odchod zaměstnance
Jméno odešlého zaměstnance (nebo zaměstnance, který odchází) a plánované datum ukončení přístupu. Na straně zákazníka není třeba nic instalovat.
Náš modul se dotazuje rozhraní Microsoft Graph, Exchange Online, Teams a Purview, aby nalezl delegovaná oprávnění ke sdíleným schránkám, pravidla automatického přeposílání, souhlasy OAuth a členství v kanálech v Teams.
Citlivé identifikátory jsou před jakoukoli analýzou pseudonymizovány. Na našich serverech se nekopírují ani neuchovávají žádná surová data: odesílá se pouze naměřený výsledek.
Obdržíte zprávu, která uvádí každou ověřenou zónu s jejím stavem (zrušeno / aktivní / k ověření) a doporučení, jak trvale uzavřít vše, co zůstává otevřené.
Konkrétní zpráva o skutečném stavu přístupů účtu, nad rámec stavu zobrazeného v adresáři
Podrobný stav (zrušeno / aktivní / k ověření) pro každou zónu kontrolovanou u daného účtu.
Technická stopa provedeného ověření, užitečná při interní kontrole nebo incidentu souvisejícím s bývalým účtem.
Seřazený seznam kroků, které má zákazník provést, aby trvale zrušil přístupy označené jako aktivní.
Správa přístupů při odchodu zaměstnance patří mezi běžné bezpečnostní standardy
Vhodná technická a organizační opatření k zajištění bezpečnosti osobních údajů. Účinné odebrání přístupů odešlého zaměstnance přímo přispívá k plnění této povinnosti zajistit bezpečnost.
Příručky ANSSI o informatické hygieně doporučují důslednou správu účtů a přístupových práv, včetně jejich úplného odebrání při odchodu zaměstnanců.
Správa přístupových práv během celého životního cyklu zaměstnance, včetně jejich odebrání při ukončení smlouvy, patří mezi organizační opatření, která norma pokrývá.
Systematická revize zbytkových přístupů při odchodu zaměstnance je součástí obecného přístupu k řízení kybernetických rizik, aniž by sama o sobě představovala konkrétní zákonnou povinnost.
V každém případě nabídka na míru - žádná zde uvedená cena není předem stanovena
Jeden samostatný odchod, na vyžádání
Časté odchody, začleněné do vašeho procesu HR/IT
Více tenantů, dceřiné společnosti, velké objemy
Toto téma upravují dva francouzské orgány: ANSSI v oblasti informační bezpečnosti, CNIL v oblasti ochrany údajů. Zde je to, co skutečně říkají, bez zveličování.
Žádný zákon nestanovuje číselně vyjádřenou lhůtu (neexistuje povinnost typu "48 hodin na odebrání přístupů"). Jde o požadavek na výsledek, který stojí na dvou oficiálních referenčních dokumentech: odchod zaměstnance nebo jeho přeřazení na jinou pozici musí vést k odebrání jeho přístupů, bez neodůvodněného odkladu. Je důležité mít na paměti tento rozdíl, aby se nezaměňoval doporučený osvědčený postup se zákonnou povinností.
Příručka informatické hygieny ANSSI (Národní agentura pro bezpečnost informačních systémů) věnuje tomuto tématu celé jedno opatření, bez rozlišení velikosti společnosti:
Existuje dokonce bezplatný podpůrný program ("Aidant cyber") určený speciálně pro organizace bez vlastního IT oddělení, tedy pro většinu malých a středních podniků.
CNIL (Národní komise pro informatiku a svobody) spojuje stejné téma s ochranou údajů ve svém samostatném informačním listu o správě oprávnění:
Tento informační list je určen každé organizaci, která zpracovává osobní údaje: v praxi každé společnosti, která má ve svých informačních systémech zaměstnance, zákazníky nebo potenciální zákazníky.
Opatření č. 6 příručky uvádí, co musí postup při odchodu zaměstnance minimálně zahrnovat (přesné znění):
ANSSI doporučuje vést aktuální přehled účtů s rozšířenými právy (správce, přístup k adresářům jiných osob), protože právě ty jsou oblíbeným cílem útočníků:
Konkrétně: účet správce webu, firemní e-mailové služby nebo online účetního softwaru si zaslouží systematické ověření při každém odchodu, a to i v malé organizaci.
ANSSI ani CNIL nestanovují číselně vyjádřenou lhůtu (žádných zákonných "48 hodin" ani "7 dnů"). Oba texty využívají povinnost výsledku: práva musí být odebrána "při odchodu" (ANSSI) nebo "jakmile" osoba již není oprávněna, a nejpozději "po skončení její smlouvy" (CNIL). Jde o doporučení v oblasti bezpečnosti a ochrany údajů, které vydávají dva oficiální orgány, nikoli o článek zákona s přesným číslem, které by bylo třeba dodržet. CNIL navíc připomíná jako chybu, které je třeba se vyhnout: "zapomenout odstranit uživatelské účty osob, které opustily organizaci nebo změnily funkci."
Nad rámec obecné zásady zde jsou přesné očekávané kroky, kdo je schvaluje a v jakém rytmu, tak jak je popisují oficiální texty.
ANSSI doporučuje stanovit formální postup při odchodu zaměstnance ve spolupráci s lidskými zdroji, který zahrnuje minimálně:
CNIL spojuje odebrání přístupů se svým informačním listem o správě oprávnění, který upřesňuje, že každé přidělení práva musí být schváleno odpovědnou osobou:
V malé organizaci bez vlastního IT oddělení připadá tato role v praxi vedoucímu společnosti nebo osobě, která spravuje přístupy k digitálním nástrojům společnosti.
Je to jediná číselně vyjádřená četnost, kterou jsme v prostudovaných oficiálních textech nalezli: CNIL doporučuje pravidelnou revizi oprávnění s přesně stanovenou minimální četností:
Tato revize umožňuje zejména odhalit přístupy zapomenuté po odchodu zaměstnance, tedy ty, které při postupu odchodu propadly sítem.
GDPR ukládá správci přijmout "veškerá užitečná opatření" k zachování bezpečnosti údajů (článek 32). Je to skutečná zákonná povinnost, ale formulovaná jako vhodná opatření: sama o sobě neuvádí, jak postupovat při odchodu zaměstnance. Konkrétní návod poskytují výše uvedená doporučení ANSSI a CNIL.
Žádný text neukládá lhůtu v hodinách k odebrání přístupů odešlého zaměstnance: ani zákonných "48 h", ani "24 h". Existují však dva přesné a doložené požadavky: odebrat přístupy "při odchodu", bez čekání (ANSSI), a přezkoumat všechna oprávnění alespoň jednou ročně (CNIL), aby se dohnalo, co mohlo být opomenuto. Právě tuto dvojí kontrolu, okamžitou po každém odchodu a ověřitelnou v čase, nabízí Offboarding Express.
Jednoduché odpovědi, každá opřená o ověřitelný oficiální zdroj (ANSSI, CNIL)
K tomuto tématu neexistuje jediný článek zákona, který by vše vyjmenoval. Jsou to dva francouzské orgány, ANSSI pro informační bezpečnost a CNIL pro ochranu údajů, které zveřejňují oficiální doporučení. Zde je to, co skutečně říkají, bez zveličování.
Kontaktujte nás a obdržíte nabídku na míru.