Onemogočitev računa v imeniku (Entra ID / Active Directory) blokira prijavo, ne pa nujno pooblastil, pravil za posredovanje, aplikacij OAuth ali članstva v kanalih v Teamsu, ki jih je ta zaposleni sčasoma nabral. Offboarding Express natančno preveri, kaj ostaja aktivno, onkraj imenika.
Onemogočen račun ni isto kot zaposleni, ki je popolnoma odrezan od vaših sistemov
Blokada prijave v imeniku prekine neposredni dostop, vendar lahko pooblastila, ki jih je imel na skupnih poštnih predalih, ali pravila za posredovanje, ki jih je nastavil, ostanejo aktivna neodvisno od računa.
Zaposleni je lahko odobril aplikacije tretjih oseb (koledar, CRM, razširitve brskalnika), ki ohranijo dostop do podatkov podjetja neodvisno od njegovega uporabniškega računa.
Članstvo v ekipah, kanalih in pripadajočih skupnih datotekah pogosto ostane še dolgo po zadnjem delovnem dnevu, ne da bi na to opozorilo kakršno koli obvestilo.
Brez sistematičnega preverjanja ob vsakem odhodu se ti preostali dostopi skozi leta kopičijo in postanejo pozabljene vstopne točke, ki so iz imenika nevidne.
Večpotni mehanizem preverjanja, enak kot pri reviziji M365 podjetja SYAGA, uporabljen ob odhodu zaposlenega
Ime odšlega zaposlenega (ali zaposlenega, ki odhaja) in predvideni datum prenehanja dostopa. Na strani stranke ni potrebna nobena namestitev.
Naš mehanizem poizveduje po poteh Microsoft Graph, Exchange Online, Teams in Purview, da poišče pooblastila na skupnih poštnih predalih, pravila za samodejno posredovanje, soglasja OAuth in članstva v kanalih v Teamsu.
Občutljivi identifikatorji so psevdonimizirani pred vsako analizo. Noben surov podatek ni kopiran ali shranjen na naših strežnikih: navzgor gre samo meritev.
Prejmete poročilo, ki navaja vsako preverjeno območje z njegovim stanjem (prekinjeno / aktivno / za preveritev), ter priporočila za dokončno zaprtje vsega, kar je še odprto.
Konkretno poročilo o dejanskem stanju dostopov računa, onkraj stanja, ki ga prikazuje imenik
Podrobno stanje (prekinjeno / aktivno / za preveritev) za vsako od območij, preverjenih na zadevnem računu.
Tehnična sled opravljenega preverjanja, uporabna ob notranjem nadzoru ali incidentu, povezanem z nekdanjim računom.
Prednostni seznam ukrepov na strani stranke za dokončno prekinitev dostopov, ugotovljenih kot aktivni.
Upravljanje dostopov ob odhodu zaposlenega je navedeno v običajnih varnostnih okvirih
Ustrezni tehnični in organizacijski ukrepi za zagotovitev varnosti osebnih podatkov. Dejanski preklic dostopov odšlega zaposlenega neposredno prispeva k tej obveznosti glede varnosti.
Vodniki ANSSI o informacijski higieni priporočajo dosledno upravljanje računov in pravic dostopa, vključno z njihovo popolno odpravo ob odhodih zaposlenih.
Upravljanje pravic dostopa skozi celoten življenjski cikel zaposlenega, vključno z njihovim odvzemom ob koncu pogodbe, sodi med organizacijske kontrole, ki jih zajema standard.
Sistematičen pregled preostalih dostopov ob odhodu zaposlenega sodi v splošen pristop k obvladovanju kibernetskih tveganj, ne da bi sam po sebi pomenil posebno regulativno obveznost.
V vsakem primeru ponudba po meri - nobena tu prikazana cena ni vnaprej določena
Posamezen odhod, na zahtevo
Pogosti odhodi, vključeni v vaš kadrovski/IT proces
Več najemnikov, odvisne družbe, veliki obsegi
To področje urejata dva francoska organa: ANSSI na področju informacijske varnosti, CNIL na področju varstva podatkov. Tukaj je, kaj dejansko pravita, brez pretiravanja.
Številčnega roka ne določa noben zakon (obveznosti tipa „48 ur za prekinitev dostopov“ ni). Gre za zahtevo po rezultatu, ki jo uveljavljata dva uradna referenčna dokumenta: odhod zaposlenega ali njegova zamenjava delovnega mesta mora povzročiti preklic njegovih dostopov, brez neupravičene zamude. Pomembna niansa, ki si jo je treba zapomniti, da ne zamenjamo priporočene dobre prakse z zakonsko obveznostjo.
Vodnik ANSSI o informacijski higieni (Državna agencija za varnost informacijskih sistemov) tej temi posveča cel ukrep, brez razlikovanja glede na velikost podjetja:
Brezplačen program podpore („Aidant cyber“) obstaja celo posebej za organizacije brez namenske informacijske službe, torej za večino mikro, malih in srednjih podjetij.
CNIL (Državna komisija za informatiko in svoboščine) isto temo povezuje z varstvom podatkov v svojem listu, posvečenem upravljanju pravic dostopa:
Ta list je namenjen vsaki organizaciji, ki obdeluje osebne podatke: v praksi vsakemu podjetju, ki ima v svojih informacijskih orodjih zaposlene, stranke ali potencialne stranke.
Ukrep št. 6 vodnika navaja, kaj mora postopek ob odhodu pokrivati vsaj (dobesedno besedilo):
ANSSI priporoča posodobljen popis računov z razširjenimi pravicami (skrbnik, dostop do map drugih oseb), ker so to prednostne tarče napadalcev:
Konkretno: skrbniški račun spletnega mesta, poslovne e-pošte ali spletne računovodske programske opreme si zasluži sistematično preverjanje ob vsakem odhodu, tudi v majhni organizaciji.
Niti ANSSI niti CNIL ne določata številčnega roka (zakonskih „48 ur“ ali „7 dni“ ni). Obe besedili uporabljata obveznost rezultata: pravice je treba preklicati „ob odhodu“ (ANSSI) ali „takoj ko“ oseba ni več pooblaščena, in najpozneje „ob koncu njene pogodbe“ (CNIL). Gre za priporočilo o varnosti in varstvu podatkov, ki ga podajata dva uradna organa, ne za člen zakona z natančno številko, ki bi jo bilo treba spoštovati. CNIL poleg tega kot napako, ki se ji je treba izogniti, navaja: „pozabiti izbrisati uporabniške račune oseb, ki so zapustile organizacijo ali zamenjale funkcijo.“
Poleg splošnega načela so tu natančni pričakovani ukrepi, kdo jih potrjuje in v kakšnem ritmu, kot jih opisujejo uradna besedila.
ANSSI priporoča opredelitev formalnega postopka ob odhodu, povezanega s kadrovsko službo, ki pokriva vsaj:
CNIL preklic dostopov povezuje s svojim listom, posvečenim upravljanju pravic dostopa, ki določa, da mora vsako dodelitev pravice potrditi odgovorna oseba:
V majhni organizaciji brez namenske informacijske službe ta vloga v praksi pripade vodji ali osebi, ki upravlja dostope do digitalnih orodij podjetja.
To je edina številčna pogostost, najdena v pregledanih uradnih besedilih: CNIL priporoča redno obdobno revizijo pravic dostopa z natančno določeno najmanjšo pogostostjo:
Ta pregled omogoča zlasti odkrivanje dostopov, pozabljenih po odhodu zaposlenega, tistih, ki so med postopkom ob odhodu zdrsnili skozi mrežo.
GDPR zavezuje upravljavca, da sprejme „vse koristne previdnostne ukrepe“ za ohranitev varnosti podatkov (člen 32). Gre za resnično zakonsko obveznost, vendar je oblikovana kot ustrezni ukrepi: sama po sebi ne navaja, kako ravnati ob odhodu zaposlenega. Konkretna navodila za uporabo podajata zgoraj navedeni priporočili ANSSI in CNIL.
Nobeno besedilo ne predpisuje roka v urah za prekinitev dostopov odšlega zaposlenega: niti zakonskih „48 ur“ niti „24 ur“. Obstajata pa dve natančni in utemeljeni zahtevi: preklic dostopov „ob odhodu“, brez odlašanja (ANSSI), in pregled vseh pravic dostopa vsaj enkrat letno (CNIL), da se ujame, kar je bilo pozabljeno. Ravno ta dvojni nadzor, takojšen po vsakem odhodu in preverljiv skozi čas, ponuja Offboarding Express.
Preprosti odgovori, vsak podprt s preverljivim uradnim virom (ANSSI, CNIL)
O tej temi ne obstaja en sam člen zakona, ki bi vse naštel. Uradna priporočila objavljata dva francoska organa, ANSSI za informacijsko varnost in CNIL za varstvo podatkov. Tukaj je, kaj dejansko pravita, brez pretiravanja.
Obrnite se na nas za prejem ponudbe po meri.