Att inaktivera ett konto i katalogen (Entra ID / Active Directory) blockerar inloggningen, men inte nödvändigtvis de delegeringar, vidarebefordringsregler, OAuth-appar eller Teams-kanalmedlemskap som den anställde har samlat på sig. Offboarding Express kontrollerar exakt vad som fortfarande är aktivt, utöver katalogen.
Ett inaktiverat konto är inte detsamma som en anställd som är helt avskuren från era system
Att blockera inloggningen i katalogen stoppar den direkta åtkomsten, men de delegeringar som kontot hade på delade postlådor eller de vidarebefordringsregler som det hade konfigurerat kan förbli aktiva oberoende av kontot.
En anställd kan ha godkänt tredjepartsappar (kalender, CRM, webbläsartillägg) som behåller åtkomsten till företagets data oberoende av användarkontot.
Medlemskap i team, kanaler och tillhörande delade filer finns ofta kvar långt efter sista arbetsdagen, utan att något larm visar det.
Utan systematisk kontroll vid varje avslutad anställning staplas dessa kvarvarande åtkomster på varandra under årens lopp och blir bortglömda ingångar, osynliga från katalogen.
En verifieringsmotor med flera spår, densamma som i SYAGA:s M365-granskning, tillämpad när en medarbetare slutar
Namn på den anställde som har slutat (eller är på väg att sluta) och planerat datum då åtkomsten upphör. Ingen installation krävs hos kunden.
Vår motor frågar spåren Microsoft Graph, Exchange Online, Teams och Purview för att hitta delegeringar på delade postlådor, regler för automatisk vidarebefordran, OAuth-samtycken och medlemskap i Teams-kanaler.
Känsliga identifierare pseudonymiseras före all analys. Ingen rådata kopieras eller lagras på våra servrar: endast mätvärdet förs vidare.
Ni får en rapport som listar varje kontrollerad zon med dess status (avstängd / aktiv / ska kontrolleras), samt rekommendationer för att definitivt stänga det som fortfarande är öppet.
En konkret rapport om det faktiska läget för ett kontos åtkomster, utöver den status som visas i katalogen
Detaljerad status (avstängd / aktiv / ska kontrolleras) för var och en av de zoner som kontrollerats på det aktuella kontot.
Teknisk spårning av den genomförda kontrollen, användbar vid intern kontroll eller en incident kopplad till ett tidigare konto.
Prioriterad lista över de åtgärder som kunden ska vidta för att definitivt stänga de åtkomster som identifierats som aktiva.
Hanteringen av åtkomster när en medarbetare slutar finns med i de vanliga säkerhetsramverken
Lämpliga tekniska och organisatoriska åtgärder för att säkerställa personuppgifternas säkerhet. Att en anställds åtkomster faktiskt återkallas när hen har slutat bidrar direkt till denna säkerhetsskyldighet.
ANSSI:s guider om it-hygien rekommenderar en noggrann hantering av konton och åtkomsträttigheter, inklusive att de dras tillbaka helt när medarbetare slutar.
Hanteringen av åtkomsträttigheter under hela en medarbetares livscykel, inklusive att de dras tillbaka när anställningen upphör, hör till de organisatoriska kontroller som standarden omfattar.
En systematisk översyn av kvarvarande åtkomster när en medarbetare slutar ingår i ett allmänt arbete med hantering av cyberrisker, utan att i sig utgöra ett särskilt lagkrav.
Offert enligt behov i samtliga fall - inget pris som visas här är fastställt i förväg
En enskild avslutad anställning, vid behov
Frekventa avslut, integrerade i er HR-/IT-process
Flera klientorganisationer, dotterbolag, stora volymer
Två franska myndigheter reglerar det här området: ANSSI för it-säkerhet och CNIL för dataskydd. Här är vad de faktiskt säger, utan överdrifter.
Det finns ingen lag som anger en tidsfrist i siffror (det finns ingen skyldighet av typen ”48 timmar för att stänga åtkomsterna”). Det är ett resultatkrav, som bärs upp av två officiella ramverk: när en medarbetare slutar eller byter tjänst ska åtkomsterna återkallas, utan onödigt dröjsmål. En viktig nyans att ha i åtanke för att inte blanda ihop rekommenderad god praxis och rättslig skyldighet.
ANSSI:s guide om it-hygien (Agence nationale de la sécurité des systèmes d'information) ägnar en hel åtgärd åt det här ämnet, utan åtskillnad på företagets storlek:
Ett kostnadsfritt stödprogram (”Aidant cyber”) finns till och med särskilt för verksamheter utan egen it-avdelning, det vill säga de flesta mikroföretag samt små och medelstora företag.
CNIL (Commission nationale de l'informatique et des libertés) knyter samma ämne till dataskyddet, i sitt faktablad om hantering av behörigheter:
Det här bladet riktar sig till alla organisationer som behandlar personuppgifter: i praktiken alla företag som har anställda, kunder eller potentiella kunder i sina it-verktyg.
Åtgärd nr 6 i guiden anger vad ett förfarande vid avslutad anställning minst ska omfatta (ordagrann text):
ANSSI rekommenderar en uppdaterad förteckning över konton med utökade rättigheter (administratör, åtkomst till andras kataloger), eftersom det är angriparnas favoritmål:
Konkret: administratörskontot för webbplatsen, för den professionella e-posten eller för bokföringsprogrammet online förtjänar en systematisk kontroll vid varje avslutad anställning, även i en liten verksamhet.
Varken ANSSI eller CNIL anger någon tidsfrist i siffror (inga lagstadgade ”48 timmar” eller ”7 dagar”). De båda texterna använder ett resultatkrav: rättigheterna ska återkallas ”när personen slutar” (ANSSI) eller ”så snart” personen inte längre har behörighet, och ”när kontraktet upphör” senast (CNIL). Det är en rekommendation om säkerhet och dataskydd som bärs upp av två officiella myndigheter, inte en lagparagraf med en exakt siffra att följa. CNIL påminner i övrigt om ett fel som ska undvikas: ”att glömma att ta bort användarkontona för personer som har lämnat organisationen eller bytt funktion.”
Utöver den allmänna principen följer här de exakta åtgärder som förväntas, vem som godkänner dem och hur ofta, så som de beskrivs i de officiella texterna.
ANSSI rekommenderar att man fastställer ett formellt förfarande vid avslutad anställning, i samarbete med personalavdelningen, som minst omfattar:
CNIL knyter återkallandet av åtkomster till sitt faktablad om hantering av behörigheter, som anger att varje tilldelning av en rättighet ska ha godkänts av en ansvarig:
I en liten verksamhet utan egen it-avdelning faller den rollen i praktiken på företagsledaren eller på den som hanterar åtkomsten till företagets digitala verktyg.
Det är den enda frekvens i siffror som återfinns i de officiella texter som har granskats: CNIL rekommenderar en regelbunden översyn av behörigheterna, med en bestämd lägsta frekvens:
Den här översynen gör det bland annat möjligt att upptäcka åtkomster som glömts bort efter att en medarbetare har slutat, de som har slunkit igenom maskorna vid förfarandet för avslutad anställning.
GDPR ålägger den personuppgiftsansvarige att vidta ”alla nödvändiga försiktighetsåtgärder” för att bevara datasäkerheten (artikel 32). Det är en verklig rättslig skyldighet, men formulerad som lämpliga åtgärder: den anger inte i sig hur man ska gå tillväga när en anställd slutar. Det är ANSSI:s och CNIL:s rekommendationer ovan som ger den konkreta bruksanvisningen.
Ingen text föreskriver en tidsfrist i timmar för att stänga åtkomsterna för en anställd som har slutat: varken ”48 timmar” eller ”24 timmar” enligt lag. Däremot finns två exakta och källbelagda krav: att återkalla åtkomsterna ”när personen slutar”, utan att vänta (ANSSI), och att se över samtliga behörigheter minst en gång per år (CNIL) för att fånga upp det som kan ha glömts bort. Det är denna dubbla kontroll, omedelbar efter varje avslutad anställning och kontrollerbar över tid, som Offboarding Express erbjuder.
Enkla svar, vart och ett förankrat i en officiell, kontrollerbar källa (ANSSI, CNIL)
I det här ämnet finns det ingen enskild lagparagraf som listar allt. Det är två franska myndigheter, ANSSI för it-säkerhet och CNIL för dataskydd, som publicerar officiella rekommendationer. Här är vad de faktiskt säger, utan överdrifter.
Kontakta oss så får ni en anpassad offert.