A fiók címtárbeli (Entra ID / Active Directory) letiltása megakadályozza a bejelentkezést, de nem feltétlenül szünteti meg a munkavállaló által felhalmozott delegálásokat, továbbítási szabályokat, OAuth-alkalmazásokat vagy a Teams-csatornákban fennálló tagságot. Az Offboarding Express pontosan azt ellenőrzi, hogy a címtáron túl mi maradt aktív.
A letiltott fiók nem ugyanaz, mint a rendszereitől teljesen elvágott munkavállaló
A bejelentkezés címtárbeli tiltása megállítja a közvetlen hozzáférést, de a megosztott postafiókokon birtokolt delegálások vagy az általa beállított továbbítási szabályok a fióktól függetlenül aktívak maradhatnak.
A munkavállaló harmadik féltől származó alkalmazásokat (naptár, CRM, böngészőbővítmények) is engedélyezhetett, amelyek a felhasználói fióktól függetlenül megőrzik a vállalat adataihoz való hozzáférést.
A csapatokban, csatornákban és a hozzájuk tartozó megosztott fájlokban fennálló tagság gyakran az utolsó munkanap után is sokáig megmarad, anélkül hogy bármilyen riasztás jelezné.
Rendszeres ellenőrzés nélkül ezek a visszamaradt hozzáférések az évek során egymásra rakódnak, és elfelejtett belépési pontokká válnak, amelyek a címtárból nem láthatók.
Többinterfészes ellenőrző motor, ugyanaz, mint a SYAGA M365-audité, egy munkavállaló távozására alkalmazva
A távozott (vagy távozóban lévő) munkavállaló neve és a hozzáférés tervezett megszűnésének dátuma. Az ügyfél oldalán semmilyen telepítésre nincs szükség.
Motorunk lekérdezi a Microsoft Graph, az Exchange Online, a Teams és a Purview interfészeit, hogy megtalálja a megosztott postafiókokon fennálló delegálásokat, az automatikus továbbítási szabályokat, az OAuth-hozzájárulásokat és a Teams-csatornákban lévő tagságokat.
Az érzékeny azonosítókat bármilyen elemzés előtt álnevesítjük. Nyers adat nem kerül másolásra vagy tárolásra a szervereinken: csak a mérési eredmény jut el hozzánk.
Jelentést kap, amely felsorolja az összes ellenőrzött területet az állapotával (megszüntetve / aktív / ellenőrizendő), valamint javaslatokat a még nyitva maradt hozzáférések végleges lezárására.
Konkrét jelentés egy fiók hozzáféréseinek tényleges állapotáról, a címtárban megjelenített állapoton túl
Részletes állapot (megszüntetve / aktív / ellenőrizendő) az érintett fiók minden ellenőrzött területére.
A végrehajtott ellenőrzés műszaki nyoma, amely belső ellenőrzés vagy egy korábbi fiókkal kapcsolatos incidens esetén hasznos.
Fontossági sorrendbe rendezett lista azokról a teendőkről, amelyeket az ügyfél oldalán el kell végezni az aktívnak talált hozzáférések végleges megszüntetéséhez.
A munkavállaló távozásakor végzett hozzáférés-kezelés szerepel a szokásos biztonsági keretrendszerekben
Megfelelő technikai és szervezési intézkedések a személyes adatok biztonságának garantálására. A távozott munkavállaló hozzáféréseinek tényleges visszavonása közvetlenül hozzájárul ehhez a biztonsági kötelezettséghez.
Az ANSSI informatikai higiéniai útmutatói a fiókok és a hozzáférési jogosultságok szigorú kezelését javasolják, beleértve azok teljes visszavonását a munkavállalók távozásakor.
A hozzáférési jogosultságok kezelése a munkavállaló teljes életciklusa alatt, beleértve azok visszavonását a szerződés megszűnésekor, a szabvány által lefedett szervezési ellenőrzések része.
A visszamaradt hozzáférések rendszeres felülvizsgálata a munkavállaló távozásakor a kiberkockázat-kezelés általános megközelítésébe illeszkedik, de önmagában nem jelent külön szabályozási kötelezettséget.
Minden esetben személyre szabott árajánlat - az itt megjelenő árak egyike sincs előre rögzítve
Egyetlen távozás, igény szerint
Gyakori távozások, beépítve a HR/IT folyamatba
Több bérlő, leányvállalatok, nagy mennyiségek
Két francia hatóság szabályozza ezt a témát: az ANSSI az informatikai biztonság, a CNIL az adatvédelem oldaláról. Íme, mit mondanak valójában, túlzások nélkül.
Nem törvény írja elő a számszerű határidőt (nincs olyan kötelezettség, mint a „48 órán belül meg kell szüntetni a hozzáféréseket”). Ez eredménykövetelmény, amelyet két hivatalos keretrendszer támaszt: a munkavállaló távozásának vagy munkakör-változásának a hozzáférései indokolatlan késedelem nélküli visszavonását kell maga után vonnia. Fontos árnyalat, hogy ne tévesszük össze az ajánlott bevált gyakorlatot a jogi kötelezettséggel.
Az ANSSI (Agence nationale de la sécurité des systèmes d'information) informatikai higiéniai útmutatója egy teljes intézkedést szán erre a témára, a vállalkozás méretétől függetlenül:
Külön ingyenes támogatási program („Aidant cyber”) is létezik azoknak a szervezeteknek, amelyeknek nincs saját informatikai részlegük, vagyis a mikro-, kis- és középvállalkozások többségének.
A CNIL (Commission nationale de l'informatique et des libertés) ugyanezt a témát az adatvédelemhez kapcsolja, a jogosultságkezelésnek szentelt tájékoztató lapján:
Ez a tájékoztató lap minden személyes adatot kezelő szervezetnek szól: a gyakorlatban minden olyan vállalkozásnak, amelynek informatikai eszközeiben munkavállalók, ügyfelek vagy érdeklődők adatai szerepelnek.
Az útmutató 6. intézkedése felsorolja, hogy a távozási eljárásnak legalább mire kell kiterjednie (pontos szöveg):
Az ANSSI azt javasolja, hogy vezessenek naprakész nyilvántartást a kiterjesztett jogokkal rendelkező fiókokról (rendszergazda, mások könyvtárainak elérése), mert ezek a támadók kiemelt célpontjai:
Konkrétan: a weboldal, a vállalati levelezés vagy az online könyvelőprogram rendszergazdai fiókját minden távozáskor rendszeresen ellenőrizni kell, még kis szervezetnél is.
Sem az ANSSI, sem a CNIL nem ír elő számszerű határidőt (nincs jogilag előírt „48 óra” vagy „7 nap”). Mindkét szöveg eredménykötelezettséget fogalmaz meg: a jogosultságokat „a távozáskor” (ANSSI) kell visszavonni, illetve „amint” a személy már nem jogosult, de legkésőbb „a szerződése megszűnésekor” (CNIL). Ez két hivatalos hatóság biztonsági és adatvédelmi ajánlása, nem pedig egy pontos számot előíró törvényi cikk. A CNIL egyébként elkerülendő hibaként említi: „elfelejteni törölni a szervezetet elhagyó vagy munkakört váltó személyek felhasználói fiókjait.”
Az általános elven túl itt vannak a hivatalos szövegekben leírt konkrét elvárt lépések, az, hogy ki hagyja jóvá őket, és milyen gyakorisággal.
Az ANSSI azt javasolja, hogy a humánerőforrás-részleggel együttműködve határozzanak meg formális távozási eljárást, amely legalább a következőkre terjed ki:
A CNIL a hozzáférések visszavonását a jogosultságkezelésnek szentelt tájékoztató lapjához kapcsolja, amely előírja, hogy minden jogosultság kiosztását egy felelősnek jóvá kell hagynia:
Saját informatikai részleggel nem rendelkező kis szervezetben ez a szerep a gyakorlatban a vezetőre vagy a vállalat digitális eszközeihez való hozzáféréseket kezelő személyre hárul.
Ez az egyetlen számszerű gyakoriság, amelyet a vizsgált hivatalos szövegekben találtunk: a CNIL a jogosultságok rendszeres felülvizsgálatát javasolja, pontosan megadott minimális gyakorisággal:
Ez a felülvizsgálat különösen lehetővé teszi a munkavállaló távozása után elfelejtett hozzáférések, vagyis a távozási eljárás során átcsúszott hozzáférések felderítését.
A GDPR előírja, hogy az adatkezelő „minden szükséges óvintézkedést” megtegyen az adatok biztonságának megőrzése érdekében (32. cikk). Ez valódi jogi kötelezettség, de megfelelő intézkedések formájában van megfogalmazva: önmagában nem jelöli meg, hogyan kell eljárni egy munkavállaló távozásakor. A fenti ANSSI- és CNIL-ajánlások adják ennek a konkrét útmutatását.
Egyetlen szöveg sem ír elő órákban megadott határidőt a távozott munkavállaló hozzáféréseinek megszüntetésére: sem jogilag előírt „48 órát”, sem „24 órát”. Két pontos és forrásokkal alátámasztott követelmény viszont létezik: a hozzáférések késlekedés nélküli visszavonása „a távozáskor” (ANSSI), valamint az összes jogosultság legalább évi egyszeri felülvizsgálata (CNIL), hogy pótolható legyen, ami elfelejtődött. Ezt a kettős ellenőrzést kínálja az Offboarding Express: minden távozás után azonnal, és az idő múlásával is ellenőrizhetően.
Egyszerű válaszok, mindegyik ellenőrizhető hivatalos forrásra támaszkodik (ANSSI, CNIL)
Ebben a témában nincs egyetlen törvényi cikk, amely mindent felsorolna. Két francia hatóság, az ANSSI az informatikai biztonság és a CNIL az adatvédelem területén tesz közzé hivatalos ajánlásokat. Íme, mit mondanak valójában, túlzások nélkül.
Vegye fel velünk a kapcsolatot személyre szabott árajánlatért.