Når vi gennemgår en ny kundes Microsoft 365, finder vi næsten altid aktive konti tilhørende personer, der ikke længere arbejder der. Nogle gange flere år efter fratrædelsen. Kontoen har licens, den koster penge, og den har adgang til data.

Offboarding er ikke svært. Det er blot en opgave, ingen ejer — og en opgave, der falder på et tidspunkt, hvor alle er optaget af at finde en afløser og fordele arbejdet.

Her er tjeklisten, de punkter der oftest svigter, og de tre situationer, der kræver noget særligt.

Hvorfor det er en reel risiko

  • En aktiv konto uden ejer bliver ikke overvåget. Ingen bemærker et login fra udlandet, fordi ingen forventer at se aktivitet.
  • Kodeordet kan være genbrugt privat og senere optræde i et datalæk.
  • Adgang til filer og mail giver mulighed for at tage data med — også længe efter.
  • Licenser koster penge hver måned.
  • Efter GDPR skal I kunne redegøre for, hvem der har adgang til personoplysninger. En fratrådt medarbejder på listen er svær at forklare.
  • Ved et sikkerhedsspørgeskema fra en kunde er det et af de spørgsmål, der bliver stillet.

Tjekliste: på fratrædelsesdagen

  • Bloker login og nulstil kodeordet. Bloker frem for at slette — se nedenfor.
  • Luk alle aktive sessioner. Et blokeret login stopper ikke i sig selv en session, der allerede kører. Det er det trin, der oftest bliver glemt.
  • Fjern MFA-metoder knyttet til personens telefon.
  • Fjern fra alle grupper og teams, inklusive delte postkasser og distributionslister.
  • Konvertér postkassen til delt eller giv en kollega adgang, så mails ikke går tabt.
  • Gennemgå postkassens regler. En gammel regel kan sende indgående mail ned i en mappe, ingen kigger i.
  • Sæt autosvar op med hvem der overtager, og hvordan de kontaktes.
  • Overdrag OneDrive-indholdet til lederen, og flyt det, der har varig værdi, til SharePoint.
  • Fjern adgang til fagsystemer og tredjepartstjenester — også dem uden for Microsoft 365.
  • Fjern fra passwordmanageren, og skift de fælles hemmeligheder, personen har haft adgang til.
  • Fjern firmadata fra telefonen, eller nulstil enheden hvis den er firmaets.
  • Indsaml udstyr: computer, telefon, nøglekort, eksterne diske, adgangskort, dockingstation.
  • Fjern fra hjemmesiden, mailsignaturskabeloner, telefonlister og eventuelle offentlige profiler.
  • Fjern fra alarm- og adgangskontrolsystem.

Punktet der oftest glemmes: fælles hemmeligheder

Har medarbejderen kendt koden til firewallen, den fælles bankportal, wifi-nøglen, alarmkoden eller en administratorkonto, skal de skiftes. Ellers har personen fortsat adgang, uanset at brugerkontoen er lukket.

Det er den vigtigste grund til at have en passwordmanager med delte bokse: så ved I præcis, hvilke hemmeligheder personen har haft adgang til, og hvilke der derfor skal roteres. Uden den er svaret et gæt.

Vær særligt opmærksom på gæstenettets kode. Den bliver aldrig skiftet, og efter fem år er den kendt af alle tidligere ansatte, alle håndværkere og alle gæster.

Bloker frem for at slette

Slet ikke kontoen med det samme. Bloker den, fjern licensen efter at postkassen er sikret, og lad den ligge i en periode — typisk 30 til 90 dage.

Grunden er, at der næsten altid dukker noget op: en mail, der skal fremfindes, en fil, ingen kan finde, en adgang der viser sig at være knyttet til den konto, et abonnement der var oprettet på den adresse.

Sæt derefter en fast dato for endelig sletning, så det ikke bliver liggende for evigt. Uden en dato bliver perioden uendelig, og så er I tilbage ved problemet.

De tre svære situationer

Fritstilling og opsigelse fra virksomhedens side

Her skal adgangen lukkes i samme øjeblik, beskeden gives — ikke bagefter, og ikke dagen efter.

Aftal timingen med HR på forhånd, så IT er klar præcis på minuttet. Det er ubehageligt at tale om, men langt bedre end alternativet, hvor en netop opsagt medarbejder har en time alene med fuld adgang til systemerne.

Medarbejderen skal til en konkurrent

Overvej at gennemgå, hvad der er downloadet i den sidste periode. Microsoft 365 kan vise usædvanlig aktivitet som massedownload fra SharePoint eller store eksporter fra CRM.

Gør det inden for rammerne af loven og gerne i dialog med en advokat — der er både ansættelsesretlige og persondataretlige hensyn. Men vær opmærksom på, at muligheden findes, og at loggen typisk kun gemmes en begrænset periode. Skal den bruges, skal den hentes hurtigt.

Nøglepersonen, der har sat alt op

Den sværeste situation. En medarbejder, der i årevis har været den, der kunne finde ud af IT, har typisk adgange og viden, ingen har dokumenteret.

Start overdragelsen i opsigelsesperioden: hvilke systemer findes, hvilke konti, hvilke leverandøraftaler, hvor ligger licenserne, hvem er kontaktperson hos hver leverandør, og hvad er der lavet af særlige opsætninger.

Er personen allerede væk, er svaret en systematisk kortlægning. Det er ubehageligt og tager tid, men det bliver ikke lettere med årene — og det er en af de opgaver, en IT-leverandør kan tage som en opstartsopgave.

Automatisér det, der kan automatiseres

Med rollebaserede grupper fjerner en enkelt handling adgangen til mange systemer. Med slutdatoer på midlertidige konti lukker de af sig selv. Med en fast liste bliver resten rutine.

Det er den samme investering, der gør onboarding hurtig. De to opgaver er hinandens spejlbillede, og de løses af det samme.

Gennemgå listen fire gange om året

Uanset hvor god processen er, sniger der sig noget ind. En kvartalsvis gennemgang af aktive konti, gæstebrugere, licenser og app-tilladelser tager en time og fanger det, der er sluppet igennem.

Kig særligt efter: konti uden aktivitet i 60 dage, konti uden MFA, gæster fra afsluttede projekter, og licenser der ikke er knyttet til en aktiv medarbejder.

Sig farvel ordentligt

Et sidste, blødere punkt. En medarbejder, der oplever offboardingen som mistroisk og hastig, taler om det bagefter.

Forklar hvorfor: adgange lukkes som standardprocedure, ikke som en vurdering af personen. Det er lettere at gøre, når det faktisk er en standardprocedure, der gælder alle — hvilket er endnu et argument for at have en liste.

Netdk håndterer offboarding for vores kunder

Vi kører listen igennem, dokumenterer hvad der er gjort, og gennemgår aktive konti og gæsteadgange kvartalsvist som en del af aftalen. Vi arbejder med virksomheder i hele Midtjylland.

Næste skridt

Vil I vide, om der ligger aktive konti tilhørende tidligere medarbejdere hos jer? Ring på 70 23 57 70 — det tager os få minutter at se efter.