Wyłączenie konta w katalogu (Entra ID / Active Directory) blokuje logowanie, ale niekoniecznie delegowane uprawnienia, reguły przesyłania dalej, aplikacje OAuth ani członkostwo w kanałach Teams, które ten pracownik zgromadził. Offboarding Express sprawdza dokładnie, co pozostaje aktywne poza katalogiem.
Wyłączone konto to nie to samo, co pracownik całkowicie odcięty od Waszych systemów
Zablokowanie logowania w katalogu zatrzymuje dostęp bezpośredni, ale uprawnienia delegowane, które miał do skrzynek udostępnionych, lub skonfigurowane przez niego reguły przesyłania dalej mogą pozostać aktywne niezależnie od konta.
Pracownik mógł autoryzować aplikacje innych firm (kalendarz, CRM, rozszerzenia przeglądarki), które zachowują dostęp do danych firmy niezależnie od jego konta użytkownika.
Członkostwo w zespołach, kanałach i powiązanych plikach udostępnionych często utrzymuje się długo po ostatnim dniu pracy, a żaden alert o tym nie informuje.
Bez systematycznej kontroli przy każdym odejściu te pozostałe dostępy kumulują się z biegiem lat i stają się zapomnianymi punktami wejścia, niewidocznymi z poziomu katalogu.
Wielościeżkowy silnik weryfikacji, ten sam co w audycie M365 SYAGA, zastosowany do odejścia pracownika
Imię i nazwisko pracownika, który odszedł (lub odchodzi), oraz planowana data zakończenia dostępu. Po stronie klienta nie jest wymagana żadna instalacja.
Nasz silnik odpytuje ścieżki Microsoft Graph, Exchange Online, Teams i Purview, aby odnaleźć uprawnienia delegowane do skrzynek udostępnionych, reguły automatycznego przesyłania dalej, zgody OAuth i członkostwa w kanałach Teams.
Wrażliwe identyfikatory są pseudonimizowane przed jakąkolwiek analizą. Żadne dane surowe nie są kopiowane ani przechowywane na naszych serwerach: przekazywany jest wyłącznie wynik pomiaru.
Otrzymujecie raport z wykazem każdej sprawdzonej strefy wraz z jej statusem (odcięty / aktywny / do sprawdzenia) oraz zalecenia, jak ostatecznie zamknąć to, co pozostaje otwarte.
Konkretny raport o rzeczywistym stanie dostępów konta, wykraczający poza status wyświetlany w katalogu
Szczegółowy status (odcięty / aktywny / do sprawdzenia) dla każdej ze stref kontrolowanych na danym koncie.
Techniczny ślad przeprowadzonej weryfikacji, przydatny w razie kontroli wewnętrznej lub incydentu związanego z dawnym kontem.
Lista działań uporządkowana według priorytetu, do wykonania po stronie klienta, aby ostatecznie odciąć dostępy zidentyfikowane jako aktywne.
Zarządzanie dostępami przy odejściu pracownika znajduje się w powszechnie stosowanych standardach bezpieczeństwa
Odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych osobowych. Skuteczne odebranie dostępów pracownika, który odszedł, bezpośrednio przyczynia się do spełnienia tego obowiązku zapewnienia bezpieczeństwa.
Przewodniki ANSSI dotyczące higieny informatycznej zalecają rygorystyczne zarządzanie kontami i prawami dostępu, w tym ich całkowite odebranie przy odejściu pracowników.
Zarządzanie prawami dostępu w całym cyklu zatrudnienia pracownika, w tym ich odebranie z końcem umowy, należy do środków organizacyjnych objętych tą normą.
Systematyczny przegląd pozostałych dostępów przy odejściu pracownika wpisuje się w ogólne podejście do zarządzania ryzykiem cybernetycznym, nie stanowiąc sam w sobie szczególnego obowiązku regulacyjnego.
W każdym przypadku wycena indywidualna - żadna cena podana tutaj nie jest ustalona z góry
Pojedyncze odejście, na zamówienie
Częste odejścia, włączone w Wasz proces kadrowy i informatyczny
Wiele dzierżaw, spółki zależne, duże wolumeny
Ten temat regulują dwa francuskie organy: ANSSI w zakresie bezpieczeństwa informatycznego i CNIL w zakresie ochrony danych. Oto, co faktycznie mówią, bez przesady.
To nie ustawa wyznacza liczbowy termin (nie istnieje obowiązek w rodzaju „48 godzin na odcięcie dostępów”). Jest to wymóg rezultatu, wynikający z dwóch oficjalnych standardów: odejście pracownika lub zmiana jego stanowiska musi skutkować odebraniem jego dostępów, bez nieuzasadnionej zwłoki. Ważne rozróżnienie, o którym warto pamiętać, aby nie mylić zalecanej dobrej praktyki z obowiązkiem prawnym.
Przewodnik ANSSI dotyczący higieny informatycznej (Krajowa Agencja Bezpieczeństwa Systemów Informacyjnych) poświęca temu tematowi cały środek, bez rozróżniania wielkości przedsiębiorstwa:
Istnieje nawet bezpłatny program wsparcia („Aidant cyber”) przeznaczony specjalnie dla podmiotów bez wydzielonego działu informatycznego, czyli większości mikroprzedsiębiorstw oraz małych i średnich firm.
CNIL (Krajowa Komisja Informatyki i Wolności) wiąże ten sam temat z ochroną danych w swojej karcie poświęconej zarządzaniu uprawnieniami:
Karta ta jest skierowana do każdego podmiotu przetwarzającego dane osobowe: w praktyce do każdego przedsiębiorstwa, które w swoich narzędziach informatycznych ma pracowników, klientów lub potencjalnych klientów.
Środek nr 6 przewodnika wymienia, co procedura odejścia musi obejmować co najmniej (dokładny tekst):
ANSSI zaleca prowadzenie aktualnego wykazu kont o rozszerzonych uprawnieniach (administrator, dostęp do katalogów innych osób), ponieważ to one są głównym celem atakujących:
W praktyce: konto administratora strony internetowej, poczty służbowej lub internetowego oprogramowania księgowego zasługuje na systematyczną weryfikację przy każdym odejściu, nawet w małej organizacji.
Ani ANSSI, ani CNIL nie wyznaczają liczbowego terminu (żadnych prawnych „48 godzin” ani „7 dni”). Oba teksty wprowadzają obowiązek rezultatu: prawa muszą zostać odebrane „w chwili odejścia” (ANSSI) lub „gdy tylko” osoba przestaje być uprawniona, a najpóźniej „z końcem umowy” (CNIL). Jest to zalecenie z zakresu bezpieczeństwa i ochrony danych, wydane przez dwa oficjalne organy, a nie przepis ustawy z konkretną liczbą do przestrzegania. CNIL wskazuje ponadto jako błąd, którego należy unikać: „zapominanie o usunięciu kont użytkowników osób, które opuściły organizację lub zmieniły funkcję.”
Poza ogólną zasadą oto konkretne oczekiwane działania, kto je zatwierdza i w jakim rytmie, zgodnie z opisem w oficjalnych dokumentach.
ANSSI zaleca określenie formalnej procedury odejścia, we współpracy z działem kadr, która obejmuje co najmniej:
CNIL wiąże odebranie dostępów ze swoją kartą poświęconą zarządzaniu uprawnieniami, która precyzuje, że każde przyznanie prawa musi zostać zatwierdzone przez osobę odpowiedzialną:
W małej organizacji bez wydzielonego działu informatycznego rola ta przypada w praktyce kierownictwu lub osobie zarządzającej dostępami do cyfrowych narzędzi firmy.
Jest to jedyna liczbowo określona częstotliwość odnaleziona w przeanalizowanych oficjalnych dokumentach: CNIL zaleca okresowy przegląd uprawnień z dokładnie określoną minimalną częstotliwością:
Przegląd ten pozwala w szczególności wychwycić dostępy zapomniane po odejściu pracownika, czyli te, które prześliznęły się przez sito procedury odejścia.
RODO nakłada na administratora obowiązek podjęcia „wszelkich użytecznych środków ostrożności” w celu zachowania bezpieczeństwa danych (artykuł 32). Jest to realny obowiązek prawny, ale sformułowany w kategoriach odpowiednich środków: sam w sobie nie wskazuje, jak postępować przy odejściu pracownika. Konkretną instrukcję wskazują dopiero powyższe zalecenia ANSSI i CNIL.
Żaden tekst nie narzuca terminu w godzinach na odcięcie dostępów pracownika, który odszedł: ani prawnych „48 godzin”, ani „24 godzin”. Istnieją natomiast dwa precyzyjne, udokumentowane źródłami wymogi: odebrać dostępy „w chwili odejścia”, bez zwłoki (ANSSI), oraz przejrzeć wszystkie uprawnienia co najmniej raz w roku (CNIL), aby nadrobić to, co mogło zostać zapomniane. Właśnie tę podwójną kontrolę, natychmiastową po każdym odejściu i weryfikowalną w czasie, proponuje Offboarding Express.
Proste odpowiedzi, każda oparta na weryfikowalnym źródle urzędowym (ANSSI, CNIL)
W tym temacie nie istnieje jeden przepis ustawy, który wymieniałby wszystko. To dwa francuskie organy, ANSSI w zakresie bezpieczeństwa informatycznego i CNIL w zakresie ochrony danych, publikują oficjalne zalecenia. Oto, co faktycznie mówią, bez przesady.
Skontaktuj się z nami, aby otrzymać indywidualną wycenę.