At deaktivere en konto i kataloget (Entra ID / Active Directory) blokerer logonnet, men ikke nødvendigvis de delegeringer, videresendelsesregler, OAuth-apps eller medlemskaber af Teams-kanaler, som den ansatte har samlet op. Offboarding Express kontrollerer præcis, hvad der stadig er aktivt ud over kataloget.
En deaktiveret konto er ikke det samme som en ansat, der er fuldstændig afskåret fra jeres systemer
At blokere logonnet i kataloget stopper den direkte adgang, men de delegeringer, vedkommende havde på delte postkasser, eller de videresendelsesregler, vedkommende havde oprettet, kan forblive aktive uafhængigt af kontoen.
En ansat kan have godkendt tredjepartsapps (kalender, CRM, browserudvidelser), som bevarer adgang til virksomhedens data uafhængigt af vedkommendes brugerkonto.
Medlemskabet af teams, kanaler og de tilhørende delte filer består ofte længe efter den sidste arbejdsdag, uden at nogen advarsel signalerer det.
Uden systematisk kontrol ved hver fratrædelse hober disse resterende adgange sig op år efter år og bliver til glemte indgangspunkter, der er usynlige fra kataloget.
En kontrolmotor på flere spor, den samme som i SYAGA's M365-audit, anvendt på en medarbejders fratrædelse
Navnet på den ansatte, der er gået (eller er ved at gå), og den planlagte dato for ophør af adgang. Der kræves ingen installation hos kunden.
Vores motor forespørger sporene Microsoft Graph, Exchange Online, Teams og Purview for at finde delegeringer på delte postkasser, regler for automatisk videresendelse, OAuth-samtykker og medlemskaber af Teams-kanaler.
Følsomme identifikatorer pseudonymiseres før enhver analyse. Ingen rådata kopieres eller opbevares på vores servere: kun målingen sendes videre.
Du modtager en rapport, der viser hvert kontrolleret område med dets status (afbrudt / aktiv / skal kontrolleres) samt anbefalinger til endeligt at lukke det, der stadig er åbent.
En konkret rapport om en kontos reelle adgangstilstand ud over den status, der vises i kataloget
Detaljeret status (afbrudt / aktiv / skal kontrolleres) for hvert af de områder, der er kontrolleret på den pågældende konto.
Teknisk spor af den udførte kontrol, nyttigt ved intern kontrol eller en hændelse knyttet til en tidligere konto.
Prioriteret liste over de handlinger, kunden skal udføre for endeligt at afbryde de adgange, der er identificeret som aktive.
Styring af adgange ved en medarbejders fratrædelse indgår i de gængse sikkerhedsstandarder
Passende tekniske og organisatoriske foranstaltninger til at sikre personoplysningers sikkerhed. Den faktiske tilbagekaldelse af adgangene for en ansat, der er gået, bidrager direkte til denne sikkerhedsforpligtelse.
ANSSI's guider til it-hygiejne anbefaler en stringent styring af konti og adgangsrettigheder, herunder at de fjernes helt ved medarbejderes fratrædelse.
Styring af adgangsrettigheder gennem en medarbejders hele livscyklus, herunder at de fjernes ved kontraktens udløb, hører til de organisatoriske kontroller, som standarden omfatter.
En systematisk gennemgang af resterende adgange ved en medarbejders fratrædelse indgår i en generel tilgang til styring af cyberrisici, uden i sig selv at udgøre en specifik retlig forpligtelse.
Personligt tilbud i alle tilfælde - ingen pris, der vises her, er fastsat på forhånd
Én enkelt fratrædelse, efter behov
Hyppige fratrædelser, integreret i jeres HR/IT-proces
Flere lejere, datterselskaber, store volumener
To franske myndigheder regulerer dette emne: ANSSI på it-sikkerhed, CNIL på databeskyttelse. Her er, hvad de faktisk siger, uden overdrivelser.
Det er ikke en lov, der fastsætter en frist i tal (der findes ingen forpligtelse af typen »48 timer til at afbryde adgangene«). Det er et resultatkrav, båret af to officielle standarder: en medarbejders fratrædelse eller skift af stilling skal medføre tilbagekaldelse af vedkommendes adgange uden unødigt ophold. En vigtig nuance at huske, så anbefalet god praksis ikke forveksles med en retlig forpligtelse.
ANSSI's guide til it-hygiejne (Agence nationale de la sécurité des systèmes d'information) afsætter en hel foranstaltning til dette emne, uden forskel på virksomhedens størrelse:
Der findes endda en gratis støtteordning (»Aidant cyber«) specifikt for virksomheder uden en dedikeret it-afdeling, dvs. størstedelen af mikrovirksomhederne og de små og mellemstore virksomheder.
CNIL (Commission nationale de l'informatique et des libertés) knytter det samme emne til databeskyttelse i sit faktaark om styring af autorisationer:
Dette faktaark henvender sig til enhver organisation, der behandler personoplysninger: i praksis enhver virksomhed med ansatte, kunder eller potentielle kunder i sine it-værktøjer.
Foranstaltning nr. 6 i guiden opregner, hvad en fratrædelsesprocedure som minimum skal dække (ordret tekst):
ANSSI anbefaler en ajourført fortegnelse over konti med udvidede rettigheder (administrator, adgang til andres mapper), fordi de er angribernes foretrukne mål:
Konkret: administratorkontoen til hjemmesiden, til den professionelle e-mail eller til det onlinebaserede regnskabsprogram fortjener en systematisk kontrol ved hver fratrædelse, selv i en lille virksomhed.
Hverken ANSSI eller CNIL fastsætter en frist i tal (ingen lovbestemt »48 timer« eller »7 dage«). De to tekster bruger et resultatkrav: rettighederne skal tilbagekaldes »ved fratrædelsen« (ANSSI) eller »så snart« personen ikke længere er autoriseret, og senest »ved udløbet af sin kontrakt« (CNIL). Det er en anbefaling om sikkerhed og databeskyttelse fra to officielle myndigheder, ikke en lovbestemmelse med et præcist tal, der skal overholdes. CNIL minder i øvrigt om en fejl, der skal undgås: »glemme at slette brugerkontiene for personer, der har forladt organisationen eller har skiftet funktion.«
Ud over det generelle princip er her de præcise handlinger, der forventes, hvem der godkender dem, og i hvilket tempo, som beskrevet i de officielle tekster.
ANSSI anbefaler at fastlægge en formel fratrædelsesprocedure i samarbejde med HR, som som minimum dækker:
CNIL knytter tilbagekaldelsen af adgange til sit faktaark om styring af autorisationer, der præciserer, at enhver tildeling af rettigheder skal være godkendt af en ansvarlig:
I en lille virksomhed uden dedikeret it-afdeling tilfalder denne rolle i praksis lederen eller den person, der styrer adgangene til virksomhedens digitale værktøjer.
Det er den eneste tal-fastsatte frekvens, der er fundet i de konsulterede officielle tekster: CNIL anbefaler en periodisk gennemgang af autorisationerne med en præcis mindstefrekvens:
Denne gennemgang gør det navnlig muligt at opdage de adgange, der blev glemt efter en medarbejders fratrædelse, dem der slap igennem nettet under fratrædelsesproceduren.
GDPR pålægger den dataansvarlige at træffe »alle nyttige forholdsregler« for at bevare datasikkerheden (artikel 32). Det er en reel retlig forpligtelse, men formuleret i form af passende foranstaltninger: den angiver ikke i sig selv fremgangsmåden ved en ansats fratrædelse. Det er ANSSI's og CNIL's anbefalinger ovenfor, der giver den konkrete brugsanvisning.
Ingen tekst pålægger en frist i timer for at afbryde adgangene for en ansat, der er gået: hverken lovbestemt »48 t« eller »24 t«. Til gengæld findes der to præcise og kildebelagte krav: at tilbagekalde adgangene »ved fratrædelsen«, uden at vente (ANSSI), og at gennemgå alle autorisationer mindst én gang om året (CNIL) for at indhente det, der måtte være glemt. Det er denne dobbelte kontrol, øjeblikkelig efter hver fratrædelse og efterprøvelig over tid, som Offboarding Express tilbyder.
Enkle svar, hver især støttet af en officiel kilde, der kan kontrolleres (ANSSI, CNIL)
Om dette emne findes der ikke én enkelt lovbestemmelse, der opregner alt. Det er to franske myndigheder, ANSSI for it-sikkerhed og CNIL for databeskyttelse, der udgiver officielle anbefalinger. Her er, hvad de faktisk siger, uden overdrivelser.
Kontakt os for at få et personligt tilbud.