Deaktivácia účtu v adresári (Entra ID / Active Directory) zablokuje prihlásenie, ale nie nevyhnutne delegovania, pravidlá preposielania, aplikácie OAuth ani členstvo v kanáloch Teams, ktoré si tento zamestnanec nazbieral. Offboarding Express presne overí, čo zostáva aktívne, nad rámec adresára.
Deaktivovaný účet nie je to isté ako zamestnanec úplne odpojený od vašich systémov
Zablokovanie prihlásenia v adresári zastaví priamy prístup, ale delegovania, ktoré mal na zdieľaných schránkach, alebo pravidlá preposielania, ktoré si nastavil, môžu zostať aktívne nezávisle od účtu.
Zamestnanec mohol povoliť aplikácie tretích strán (kalendár, CRM, rozšírenia prehliadača), ktoré si zachovávajú prístup k údajom firmy nezávisle od jeho používateľského účtu.
Členstvo v tímoch, kanáloch a súvisiacich zdieľaných súboroch často pretrváva dlho po poslednom pracovnom dni, bez akéhokoľvek upozornenia.
Bez systematickej kontroly pri každom odchode sa tieto zvyškové prístupy v priebehu rokov kopia a stávajú sa zabudnutými vstupnými bodmi, neviditeľnými z adresára.
Overovací nástroj pracujúci s viacerými rozhraniami, ten istý ako pri audite M365 od SYAGA, použitý na odchod zamestnanca
Meno odídeného zamestnanca (alebo zamestnanca, ktorý práve odchádza) a plánovaný dátum ukončenia prístupu. Na strane klienta nie je potrebná žiadna inštalácia.
Náš nástroj dopytuje rozhrania Microsoft Graph, Exchange Online, Teams a Purview, aby našiel delegovania na zdieľaných schránkach, pravidlá automatického preposielania, súhlasy OAuth a členstvá v kanáloch Teams.
Citlivé identifikátory sa pred akoukoľvek analýzou pseudonymizujú. Na našich serveroch sa nekopírujú ani neuchovávajú žiadne surové údaje: odovzdáva sa len výsledok merania.
Dostanete správu so zoznamom každej overenej zóny a jej stavom (odpojené / aktívne / na overenie) spolu s odporúčaniami na definitívne uzavretie toho, čo zostáva otvorené.
Konkrétna správa o skutočnom stave prístupov účtu, nad rámec stavu zobrazeného v adresári
Podrobný stav (odpojené / aktívne / na overenie) pre každú kontrolovanú zónu dotknutého účtu.
Technická stopa vykonaného overenia, užitočná pri internej kontrole alebo incidente súvisiacom s bývalým účtom.
Zoznam krokov usporiadaný podľa priority, ktoré má klient vykonať, aby definitívne odpojil prístupy označené ako aktívne.
Správa prístupov pri odchode zamestnanca patrí do bežných bezpečnostných rámcov
Primerané technické a organizačné opatrenia na zabezpečenie bezpečnosti osobných údajov. Účinné odobratie prístupov odídeného zamestnanca priamo prispieva k plneniu tejto povinnosti bezpečnosti.
Príručky ANSSI o informatickej hygiene odporúčajú dôsledné riadenie účtov a prístupových práv vrátane ich úplného odobratia pri odchode zamestnancov.
Riadenie prístupových práv počas celého životného cyklu zamestnanca, vrátane ich odobratia pri skončení zmluvy, patrí medzi organizačné opatrenia, ktoré norma pokrýva.
Systematická revízia zvyškových prístupov pri odchode zamestnanca zapadá do všeobecného prístupu k riadeniu kybernetických rizík, pričom sama osebe netvorí osobitnú regulačnú povinnosť.
Cenová ponuka na mieru vždy - žiadna tu uvedená cena nie je vopred stanovená
Jeden samostatný odchod, na požiadanie
Časté odchody, začlenené do vášho personálneho a IT procesu
Viacero nájomcov, dcérske spoločnosti, veľké objemy
Túto tému upravujú dva francúzske orgány: ANSSI v oblasti informačnej bezpečnosti, CNIL v oblasti ochrany údajov. Tu je to, čo skutočne hovoria, bez zveličovania.
Nejde o zákon, ktorý stanovuje číselnú lehotu (neexistuje povinnosť typu „48 hodín na odpojenie prístupov“). Ide o požiadavku na výsledok, ktorú nesú dva oficiálne referenčné dokumenty: odchod alebo zmena pozície zamestnanca musí viesť k odobratiu jeho prístupov bez neodôvodneného odkladu. Dôležitý rozdiel, ktorý treba mať na pamäti, aby sa nezamieňal odporúčaný osvedčený postup so zákonnou povinnosťou.
Príručka informatickej hygieny agentúry ANSSI (Národná agentúra pre bezpečnosť informačných systémov) venuje tejto téme celé jedno opatrenie, bez rozlišovania podľa veľkosti firmy:
Bezplatný podporný program („Kybernetický pomocník“) existuje dokonca osobitne pre organizácie bez vyhradeného IT oddelenia, teda pre väčšinu mikropodnikov a malých a stredných podnikov.
CNIL (Národná komisia pre informatiku a slobody) spája tú istú tému s ochranou údajov vo svojom informačnom liste venovanom správe oprávnení:
Tento list je určený každej organizácii, ktorá spracúva osobné údaje: v praxi každej firme, ktorá má vo svojich informačných nástrojoch zamestnancov, klientov alebo potenciálnych klientov.
Opatrenie č. 6 príručky uvádza, čo musí postup pri odchode minimálne pokrývať (presné znenie):
ANSSI odporúča aktuálny inventár účtov s rozšírenými právami (administrátor, prístup k adresárom iných osôb), pretože sú privilegovaným cieľom útočníkov:
Konkrétne: administrátorský účet webovej lokality, firemnej pošty alebo online účtovného softvéru si zaslúži systematickú kontrolu pri každom odchode, aj v malej organizácii.
Ani ANSSI, ani CNIL nestanovujú číselnú lehotu (žiadnych zákonných „48 hodín“ ani „7 dní“). Oba texty používajú povinnosť výsledku: práva sa musia odobrať „pri odchode“ (ANSSI) alebo „hneď, ako“ osoba už nie je oprávnená, a najneskôr „na konci jej zmluvy“ (CNIL). Ide o odporúčanie v oblasti bezpečnosti a ochrany údajov, ktoré presadzujú dva oficiálne orgány, nie o zákonný článok s presným číslom, ktoré treba dodržať. CNIL okrem toho pripomína ako chybu, ktorej sa treba vyhnúť: „zabudnúť zrušiť používateľské účty osôb, ktoré opustili organizáciu alebo zmenili funkciu.“
Nad rámec všeobecného princípu tu sú presné očakávané kroky, kto ich schvaľuje a v akom rytme, tak ako ich opisujú oficiálne texty.
ANSSI odporúča vymedziť formálny postup pri odchode v spolupráci s ľudskými zdrojmi, ktorý minimálne pokrýva:
CNIL spája odobratie prístupov so svojím listom o správe oprávnení, ktorý upresňuje, že každé pridelenie práva musí schváliť zodpovedná osoba:
V malej organizácii bez vyhradeného IT oddelenia táto úloha v praxi pripadá vedúcemu firmy alebo osobe, ktorá spravuje prístupy k digitálnym nástrojom firmy.
Je to jediná číselná periodicita nájdená v preskúmaných oficiálnych textoch: CNIL odporúča pravidelnú revíziu oprávnení s presnou minimálnou frekvenciou:
Táto revízia umožňuje najmä odhaliť prístupy zabudnuté po odchode zamestnanca, tie, ktoré prešli okami siete pri postupe pri odchode.
GDPR ukladá prevádzkovateľovi prijať „všetky užitočné opatrenia“ na zachovanie bezpečnosti údajov (článok 32). Je to skutočná zákonná povinnosť, ale formulovaná ako primerané opatrenia: sama osebe neuvádza postup pri odchode zamestnanca. Konkrétny návod poskytujú až vyššie uvedené odporúčania ANSSI a CNIL.
Žiadny text neukladá lehotu v hodinách na odpojenie prístupov odídeného zamestnanca: ani zákonných „48 h“, ani „24 h“. Existujú však dve presné a zdrojmi podložené požiadavky: odobrať prístupy „pri odchode“, bez čakania (ANSSI), a aspoň raz ročne prehodnotiť všetky oprávnenia (CNIL), aby sa zachytilo, čo sa zabudlo. Práve túto dvojitú kontrolu, okamžitú po každom odchode a overiteľnú v čase, ponúka Offboarding Express.
Jednoduché odpovede, každá opretá o overiteľný oficiálny zdroj (ANSSI, CNIL)
V tejto téme neexistuje jediný zákonný článok, ktorý by uvádzal všetko. Oficiálne odporúčania zverejňujú dva francúzske orgány, ANSSI pre informačnú bezpečnosť a CNIL pre ochranu údajov. Tu je to, čo skutočne hovoria, bez zveličovania.
Kontaktujte nás a dostanete cenovú ponuku na mieru.