Η απενεργοποίηση ενός λογαριασμού στον κατάλογο (Entra ID / Active Directory) αποκλείει τη σύνδεση, όχι όμως κατ' ανάγκη τις εξουσιοδοτήσεις, τους κανόνες προώθησης, τις εφαρμογές OAuth ή τη συμμετοχή στα κανάλια του Teams που είχε συσσωρεύσει ο εργαζόμενος. Το Offboarding Express επαληθεύει με ακρίβεια τι παραμένει ενεργό, πέρα από τον κατάλογο.
Ένας απενεργοποιημένος λογαριασμός δεν σημαίνει ότι ο εργαζόμενος έχει αποκοπεί πλήρως από τα συστήματά σας
Ο αποκλεισμός της σύνδεσης στον κατάλογο σταματά την άμεση πρόσβαση, όμως οι εξουσιοδοτήσεις που διέθετε σε κοινόχρηστα γραμματοκιβώτια ή οι κανόνες προώθησης που είχε ρυθμίσει μπορεί να παραμένουν ενεργοί ανεξάρτητα από τον λογαριασμό.
Ένας εργαζόμενος μπορεί να έχει εγκρίνει εφαρμογές τρίτων (ημερολόγιο, CRM, επεκτάσεις προγράμματος περιήγησης) που διατηρούν πρόσβαση στα δεδομένα της επιχείρησης ανεξάρτητα από τον λογαριασμό χρήστη του.
Η συμμετοχή σε ομάδες, σε κανάλια και στα συναφή κοινόχρηστα αρχεία συχνά παραμένει πολύ μετά την τελευταία εργάσιμη ημέρα, χωρίς καμία ειδοποίηση.
Χωρίς συστηματικό έλεγχο σε κάθε αποχώρηση, αυτές οι υπολειπόμενες προσβάσεις στοιβάζονται με τα χρόνια και γίνονται ξεχασμένα σημεία εισόδου, αόρατα από τον κατάλογο.
Μια μηχανή επαλήθευσης πολλαπλών διαδρομών, η ίδια με εκείνη του ελέγχου M365 της SYAGA, εφαρμοσμένη στην αποχώρηση ενός συνεργάτη
Όνομα του εργαζομένου που έχει αποχωρήσει (ή αποχωρεί) και προβλεπόμενη ημερομηνία παύσης των προσβάσεων. Δεν απαιτείται καμία εγκατάσταση από την πλευρά του πελάτη.
Η μηχανή μας ερωτά τις διαδρομές Microsoft Graph, Exchange Online, Teams και Purview, ώστε να εντοπίσει εξουσιοδοτήσεις σε κοινόχρηστα γραμματοκιβώτια, κανόνες αυτόματης προώθησης, συναινέσεις OAuth και συμμετοχές σε κανάλια του Teams.
Οι ευαίσθητοι αναγνωριστικοί κωδικοί ψευδωνυμοποιούνται πριν από κάθε ανάλυση. Κανένα ακατέργαστο δεδομένο δεν αντιγράφεται ούτε διατηρείται στους διακομιστές μας: ανεβαίνει μόνο η μέτρηση.
Λαμβάνετε μια έκθεση που απαριθμεί κάθε ζώνη που ελέγχθηκε με την κατάστασή της (αποκομμένο / ενεργό / προς επαλήθευση), καθώς και τις συστάσεις για το οριστικό κλείσιμο όσων παραμένουν ανοικτά.
Μια συγκεκριμένη έκθεση για την πραγματική κατάσταση των προσβάσεων ενός λογαριασμού, πέρα από την κατάσταση που εμφανίζεται στον κατάλογο
Αναλυτική κατάσταση (αποκομμένο / ενεργό / προς επαλήθευση) για καθεμία από τις ζώνες που ελέγχονται στον συγκεκριμένο λογαριασμό.
Τεχνικό ίχνος της επαλήθευσης που πραγματοποιήθηκε, χρήσιμο σε περίπτωση εσωτερικού ελέγχου ή συμβάντος που σχετίζεται με παλιό λογαριασμό.
Ιεραρχημένος κατάλογος ενεργειών που πρέπει να γίνουν από την πλευρά του πελάτη για το οριστικό κλείσιμο των προσβάσεων που εντοπίστηκαν ως ενεργές.
Η διαχείριση των προσβάσεων κατά την αποχώρηση ενός συνεργάτη περιλαμβάνεται στα συνήθη πρότυπα ασφάλειας
Κατάλληλα τεχνικά και οργανωτικά μέτρα για τη διασφάλιση της ασφάλειας των δεδομένων προσωπικού χαρακτήρα. Η πραγματική ανάκληση των προσβάσεων ενός εργαζομένου που αποχώρησε συμβάλλει άμεσα στη συγκεκριμένη υποχρέωση ασφάλειας.
Οι οδηγοί πληροφοριακής υγιεινής της ANSSI συνιστούν αυστηρή διαχείριση των λογαριασμών και των δικαιωμάτων πρόσβασης, συμπεριλαμβανομένης της πλήρους ανάκλησής τους κατά τις αποχωρήσεις συνεργατών.
Η διαχείριση των δικαιωμάτων πρόσβασης καθ' όλο τον κύκλο ζωής ενός συνεργάτη, συμπεριλαμβανομένης της ανάκλησής τους με τη λήξη της σύμβασης, ανήκει στους οργανωτικούς ελέγχους που καλύπτει το πρότυπο.
Η συστηματική επισκόπηση των υπολειπόμενων προσβάσεων κατά την αποχώρηση ενός συνεργάτη εντάσσεται σε μια γενική προσέγγιση διαχείρισης των κινδύνων κυβερνοασφάλειας, χωρίς να συνιστά από μόνη της ειδική ρυθμιστική υποχρέωση.
Εξατομικευμένη προσφορά σε κάθε περίπτωση - καμία τιμή που εμφανίζεται εδώ δεν καθορίζεται εκ των προτέρων
Μία μεμονωμένη αποχώρηση, κατόπιν αιτήματος
Συχνές αποχωρήσεις, ενταγμένες στη διαδικασία HR/IT
Πολλαπλοί μισθωτές, θυγατρικές, μεγάλοι όγκοι
Δύο γαλλικές αρχές ρυθμίζουν το θέμα: η ANSSI για την ασφάλεια πληροφορικής, η CNIL για την προστασία δεδομένων. Δείτε τι λένε πραγματικά, χωρίς υπερβολές.
Δεν υπάρχει νόμος που να ορίζει αριθμητική προθεσμία (δεν υπάρχει υποχρέωση του τύπου «48 ώρες για το κλείσιμο των προσβάσεων»). Πρόκειται για απαίτηση αποτελέσματος, που προκύπτει από δύο επίσημα πρότυπα: η αποχώρηση ή η αλλαγή θέσης ενός συνεργάτη πρέπει να επιφέρει την ανάκληση των προσβάσεών του, χωρίς αδικαιολόγητη καθυστέρηση. Μια σημαντική διάκριση που πρέπει να έχετε κατά νου, ώστε να μην συγχέετε τη συνιστώμενη ορθή πρακτική με τη νομική υποχρέωση.
Ο οδηγός πληροφοριακής υγιεινής της ANSSI (Εθνική Υπηρεσία Ασφάλειας Συστημάτων Πληροφοριών) αφιερώνει ολόκληρο μέτρο στο θέμα, χωρίς διάκριση μεγέθους επιχείρησης:
Υπάρχει μάλιστα δωρεάν πρόγραμμα υποστήριξης («Aidant cyber») ειδικά για τους οργανισμούς χωρίς αποκλειστική υπηρεσία πληροφορικής, δηλαδή για την πλειονότητα των πολύ μικρών και μικρομεσαίων επιχειρήσεων.
Η CNIL (Εθνική Επιτροπή Πληροφορικής και Ελευθεριών) συνδέει το ίδιο θέμα με την προστασία δεδομένων, στο ειδικό της δελτίο για τη διαχείριση των εξουσιοδοτήσεων πρόσβασης:
Το δελτίο απευθύνεται σε κάθε οργανισμό που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα: στην πράξη, σε κάθε επιχείρηση που έχει εργαζομένους, πελάτες ή υποψήφιους πελάτες στα πληροφοριακά της εργαλεία.
Το μέτρο αρ. 6 του οδηγού απαριθμεί όσα πρέπει να καλύπτει τουλάχιστον μια διαδικασία αποχώρησης (ακριβές κείμενο):
Η ANSSI συνιστά ενημερωμένη απογραφή των λογαριασμών με εκτεταμένα δικαιώματα (διαχειριστής, πρόσβαση σε φακέλους τρίτων), επειδή αποτελούν τους προνομιακούς στόχους των επιτιθέμενων:
Συγκεκριμένα: ο λογαριασμός διαχειριστή του ιστότοπου, του επαγγελματικού ηλεκτρονικού ταχυδρομείου ή του λογισμικού διαδικτυακής λογιστικής αξίζει συστηματικό έλεγχο σε κάθε αποχώρηση, ακόμη και σε μικρό οργανισμό.
Ούτε η ANSSI ούτε η CNIL ορίζουν αριθμητική προθεσμία (καμία νόμιμη προθεσμία «48 ωρών» ή «7 ημερών»). Και τα δύο κείμενα επικαλούνται υποχρέωση αποτελέσματος: τα δικαιώματα πρέπει να ανακαλούνται «κατά την αποχώρηση» (ANSSI) ή «μόλις» το πρόσωπο παύει να έχει εξουσιοδότηση, και το αργότερο «με τη λήξη της σύμβασής του» (CNIL). Πρόκειται για σύσταση ασφάλειας και προστασίας δεδομένων που διατυπώνουν δύο επίσημες αρχές, όχι για άρθρο νόμου με συγκεκριμένο αριθμό προς τήρηση. Η CNIL επισημαίνει άλλωστε ως σφάλμα προς αποφυγή: «η παράλειψη διαγραφής των λογαριασμών χρηστών των προσώπων που έχουν αποχωρήσει από τον οργανισμό ή έχουν αλλάξει καθήκοντα.»
Πέρα από τη γενική αρχή, δείτε τις συγκεκριμένες ενέργειες που αναμένονται, ποιος τις επικυρώνει και με ποιον ρυθμό, όπως περιγράφονται στα επίσημα κείμενα.
Η ANSSI συνιστά τον καθορισμό επίσημης διαδικασίας αποχώρησης, σε συνεργασία με το ανθρώπινο δυναμικό, που καλύπτει τουλάχιστον:
Η CNIL συνδέει την ανάκληση των προσβάσεων με το ειδικό της δελτίο για τη διαχείριση των εξουσιοδοτήσεων πρόσβασης, το οποίο διευκρινίζει ότι κάθε απόδοση δικαιώματος πρέπει να έχει επικυρωθεί από υπεύθυνο:
Σε μικρό οργανισμό χωρίς αποκλειστική υπηρεσία πληροφορικής, ο ρόλος αυτός ανήκει στην πράξη στον διευθύνοντα ή στο πρόσωπο που διαχειρίζεται τις προσβάσεις στα ψηφιακά εργαλεία της επιχείρησης.
Είναι ο μοναδικός αριθμητικός ρυθμός που βρέθηκε στα επίσημα κείμενα που συμβουλευτήκαμε: η CNIL συνιστά περιοδική επισκόπηση των εξουσιοδοτήσεων πρόσβασης, με συγκεκριμένη ελάχιστη συχνότητα:
Η επισκόπηση αυτή επιτρέπει ιδίως τον εντοπισμό των προσβάσεων που ξεχάστηκαν μετά την αποχώρηση ενός συνεργάτη, εκείνων που διέφυγαν από τη διαδικασία αποχώρησης.
Ο ΓΚΠΔ επιβάλλει στον υπεύθυνο επεξεργασίας να λαμβάνει «όλες τις χρήσιμες προφυλάξεις» για τη διασφάλιση της ασφάλειας των δεδομένων (άρθρο 32). Πρόκειται για πραγματική νομική υποχρέωση, διατυπωμένη όμως με όρους κατάλληλων μέτρων: από μόνη της δεν υποδεικνύει τη διαδικασία που πρέπει να ακολουθηθεί κατά την αποχώρηση ενός εργαζομένου. Οι ανωτέρω συστάσεις της ANSSI και της CNIL δίνουν τις συγκεκριμένες οδηγίες εφαρμογής.
Κανένα κείμενο δεν επιβάλλει προθεσμία σε ώρες για το κλείσιμο των προσβάσεων ενός εργαζομένου που αποχώρησε: ούτε «48 ώρες», ούτε «24 ώρες» νομικά. Υπάρχουν όμως δύο συγκεκριμένες και τεκμηριωμένες απαιτήσεις: η ανάκληση των προσβάσεων «κατά την αποχώρηση», χωρίς αναμονή (ANSSI), και η επισκόπηση του συνόλου των εξουσιοδοτήσεων πρόσβασης τουλάχιστον μία φορά τον χρόνο (CNIL), ώστε να διορθωθεί ό,τι τυχόν ξεχάστηκε. Αυτόν ακριβώς τον διπλό έλεγχο, άμεσο μετά από κάθε αποχώρηση και επαληθεύσιμο στον χρόνο, προσφέρει το Offboarding Express.
Απλές απαντήσεις, καθεμία στηριγμένη σε επαληθεύσιμη επίσημη πηγή (ANSSI, CNIL)
Στο θέμα αυτό δεν υπάρχει ένα μοναδικό άρθρο νόμου που να τα απαριθμεί όλα. Δύο γαλλικές αρχές, η ANSSI για την ασφάλεια πληροφορικής και η CNIL για την προστασία δεδομένων, δημοσιεύουν επίσημες συστάσεις. Δείτε τι λένε πραγματικά, χωρίς υπερβολές.
Επικοινωνήστε μαζί μας για να λάβετε εξατομικευμένη προσφορά.