Onboarding i offboarding pracownika w IT. Jak bezpiecznie nadać i odebrać dostęp?

Dostęp pracownika do firmowych systemów trzeba kontrolować od pierwszego do ostatniego dnia

Nowy pracownik zwykle potrzebuje dostępu do poczty, komputera, plików, systemów sprzedażowych, programów księgowych, ERP, CRM, drukarek, VPN, komunikatorów i wielu innych narzędzi. Jeśli proces nadawania dostępów jest chaotyczny, firma szybko traci kontrolę nad tym, kto ma dostęp do jakich danych.

Jeszcze większe ryzyko pojawia się przy odejściu pracownika. Niewyłączone konto pocztowe, aktywny dostęp do Microsoft 365, pozostawione hasła w przeglądarce, niezwrócony laptop, dostęp do plików w chmurze albo konto administratora używane przez kilka osób mogą stać się realnym zagrożeniem dla firmy.

Onboarding i offboarding pracownika w IT to nie tylko formalność kadrowa. To proces bezpieczeństwa. Jego celem jest nadanie właściwych uprawnień na początku współpracy i odebranie ich w odpowiednim momencie, gdy współpraca się kończy.

Dobrze przygotowana procedura ogranicza ryzyko wycieku danych, przejęcia konta, utraty dokumentów, nieuprawnionego dostępu i problemów organizacyjnych.

Czym jest onboarding pracownika w IT?

Onboarding IT to techniczne przygotowanie pracownika do pracy. Obejmuje utworzenie kont, konfigurację urządzeń, nadanie dostępu do systemów, przygotowanie poczty, uprawnień, zabezpieczeń i instrukcji.

W praktyce onboarding IT powinien obejmować:

1. utworzenie konta użytkownika,
2. przygotowanie adresu e-mail,
3. przypisanie licencji Microsoft 365 lub innych usług,
4. konfigurację komputera,
5. instalację potrzebnych programów,
6. nadanie dostępu do plików i folderów,
7. konfigurację MFA,
8. przygotowanie VPN lub dostępu zdalnego,
9. przypisanie do grup i zespołów,
10. przekazanie sprzętu,
11. wydanie instrukcji logowania,
12. zapisanie informacji w dokumentacji IT.

Najważniejsza zasada brzmi: pracownik powinien dostać dostęp tylko do tych zasobów, które są mu potrzebne do pracy. Nie więcej.

Czym jest offboarding pracownika w IT?

Offboarding IT to bezpieczne odebranie dostępu pracownikowi, który kończy współpracę z firmą, zmienia stanowisko albo przestaje korzystać z określonych systemów.

Ten etap często jest zaniedbywany. Konto zostaje aktywne „na wszelki wypadek”, poczta nadal działa, laptop wraca bez sprawdzenia, a dostęp do plików i systemów zostaje taki sam jak wcześniej. To błąd.

Offboarding IT powinien obejmować:

1. zablokowanie lub usunięcie konta użytkownika,
2. odebranie dostępu do poczty,
3. zmianę lub zabezpieczenie haseł,
4. odebranie dostępu do Microsoft 365,
5. odebranie dostępu do systemów firmowych,
6. usunięcie dostępu VPN,
7. odebranie dostępu do plików i folderów,
8. przejęcie danych służbowych,
9. przekierowanie poczty lub ustawienie autorespondera,
10. odzyskanie sprzętu,
11. wyczyszczenie lub ponowną konfigurację urządzeń,
12. aktualizację dokumentacji IT.

Dobrze wykonany offboarding chroni firmę przed sytuacją, w której były pracownik nadal ma dostęp do danych, klientów, dokumentów, systemów albo skrzynki e-mail.

Dlaczego onboarding i offboarding są tak ważne dla bezpieczeństwa?

Większość firm koncentruje się na antywirusie, backupie, firewallu i MFA. To ważne obszary, ale dostęp pracowników jest równie istotny. Nawet najlepsze zabezpieczenia nie pomogą, jeśli firma nie wie, kto ma dostęp do plików, poczty i systemów.

Najczęstsze problemy wynikające z braku procedury to:

1. aktywne konta byłych pracowników,
2. wspólne hasła używane przez kilka osób,
3. dostęp do plików bez kontroli,
4. prywatne konta używane do pracy,
5. brak MFA na poczcie,
6. zbyt szerokie uprawnienia,
7. nieodebrane laptopy i telefony,
8. dane firmowe zapisane lokalnie na komputerze,
9. brak przekazania skrzynki lub dokumentów,
10. brak wiedzy, kto był administratorem systemu,
11. konta tworzone bez dokumentacji,
12. brak kontroli nad aplikacjami zewnętrznymi.

Problem nie zawsze polega na złej woli pracownika. Często wynika z chaosu organizacyjnego. Jeśli nikt nie ma listy kont, licencji, sprzętu i dostępów, trudno bezpiecznie zakończyć współpracę.

Jak powinien wyglądać onboarding IT krok po kroku?

Dobry onboarding zaczyna się przed pierwszym dniem pracy. Dzięki temu pracownik może rozpocząć pracę bez opóźnień, a firma nie musi nadawać dostępów w pośpiechu.

1. Zgłoszenie nowego pracownika do IT

Dział kadr, właściciel firmy albo przełożony powinien z wyprzedzeniem przekazać informacje potrzebne do przygotowania dostępu.

W zgłoszeniu powinny znaleźć się:

1. imię i nazwisko pracownika,
2. stanowisko,
3. dział,
4. data rozpoczęcia pracy,
5. przełożony,
6. potrzebny adres e-mail,
7. wymagane programy,
8. potrzebne dostępy,
9. sprzęt do przygotowania,
10. informacja o pracy zdalnej lub stacjonarnej.

Im lepsze zgłoszenie, tym mniejsze ryzyko, że pracownik dostanie za dużo lub za mało uprawnień.

2. Przygotowanie konta użytkownika

Konto pracownika powinno być indywidualne. Nie należy tworzyć wspólnych kont typu biuro, sprzedaz1 albo magazyn, jeśli kilka osób ma pracować na tych samych danych bez rozróżnienia użytkowników.

Indywidualne konto pozwala ustalić:

1. kto logował się do systemu,
2. kto wykonał operację,
3. kto ma dostęp do danych,
4. komu odebrać dostęp przy zakończeniu pracy,
5. jakie uprawnienia ma dana osoba.

Wspólne konta utrudniają kontrolę i zwiększają ryzyko nadużyć.

3. Nadanie właściwych uprawnień

Uprawnienia powinny być nadawane zgodnie z zasadą minimalnego dostępu. Pracownik powinien mieć dostęp tylko do tych zasobów, których potrzebuje do wykonywania obowiązków.

Warto unikać sytuacji, w których nowy pracownik dostaje „na wszelki wypadek” dostęp do wszystkiego. Takie podejście jest wygodne na początku, ale później trudno nad nim zapanować.

Przykładowo:

1. handlowiec potrzebuje dostępu do CRM i ofert,
2. księgowość potrzebuje dostępu do dokumentów finansowych,
3. magazyn potrzebuje dostępu do systemu magazynowego,
4. produkcja potrzebuje dostępu do systemu produkcyjnego,
5. administrator powinien mieć osobne konto administracyjne.

4. Konfiguracja MFA i zabezpieczeń

Jeżeli firma korzysta z Microsoft 365, poczty firmowej, VPN, systemu ERP albo paneli administracyjnych, warto od początku skonfigurować MFA. Nie należy zostawiać tego „na później”.

MFA powinno być włączone szczególnie dla:

1. poczty firmowej,
2. Microsoft 365,
3. kont administratorów,
4. VPN,
5. systemów ERP,
6. bankowości,
7. systemów kadrowych,
8. systemów księgowych,
9. paneli hostingowych,
10. narzędzi do zarządzania stroną internetową.

Więcej o ochronie kont opisaliśmy w artykule MFA w firmie. Jak zabezpieczyć konta pracowników, pocztę, ERP i KSeF?.

5. Przygotowanie komputera i telefonu

Sprzęt przekazywany pracownikowi powinien być przygotowany przed rozpoczęciem pracy. Dotyczy to zarówno laptopów, komputerów stacjonarnych, jak i telefonów służbowych.

Warto sprawdzić:

1. aktualność systemu operacyjnego,
2. zainstalowane aktualizacje,
3. program antywirusowy,
4. szyfrowanie dysku,
5. konfigurację poczty,
6. dostęp do drukarek,
7. dostęp do VPN,
8. niezbędne aplikacje,
9. brak danych poprzedniego użytkownika,
10. konto pracownika bez uprawnień administratora.

Komputer po poprzednim pracowniku nie powinien być przekazywany dalej bez sprawdzenia, czyszczenia i ponownej konfiguracji.

6. Przekazanie instrukcji i zasad

Nowy pracownik powinien wiedzieć, jak korzystać z firmowego IT. Krótka instrukcja może ograniczyć liczbę problemów i zgłoszeń.

W instrukcji warto opisać:

1. jak logować się do poczty,
2. jak działa MFA,
3. gdzie zapisywać pliki,
4. czego nie zapisywać na pulpicie,
5. jak korzystać z VPN,
6. jak zgłaszać problemy IT,
7. jak postępować z podejrzanym e-mailem,
8. czy można używać prywatnych urządzeń,
9. jak korzystać z menedżera haseł,
10. do kogo zgłaszać potrzebę nowych dostępów.

To prosty element, który pomaga utrzymać porządek i bezpieczeństwo.

Jak powinien wyglądać offboarding IT krok po kroku?

Offboarding powinien być zaplanowany tak samo dokładnie jak onboarding. Najlepiej, jeśli firma ma gotową checklistę i wykonuje ją za każdym razem, gdy pracownik kończy współpracę.

1. Ustalenie daty i trybu odebrania dostępu

Najpierw trzeba ustalić, kiedy dostęp ma zostać odebrany. Inaczej wygląda odejście planowane, a inaczej nagłe zakończenie współpracy.

Warto ustalić:

1. ostatni dzień pracy,
2. godzinę zablokowania kont,
3. osoby odpowiedzialne za decyzję,
4. listę systemów do zablokowania,
5. sposób przejęcia danych,
6. sposób odbioru sprzętu.

W przypadku konfliktowego rozstania dostęp powinien być odebrany szczególnie szybko i w kontrolowany sposób.

2. Zablokowanie kont i sesji

Samo zmienienie hasła nie zawsze wystarczy. Użytkownik może mieć aktywne sesje na telefonie, laptopie, w przeglądarce albo aplikacjach mobilnych.

Przy offboardingu warto:

1. zablokować konto,
2. wymusić wylogowanie z aktywnych sesji,
3. cofnąć tokeny dostępu,
4. odebrać dostęp do Microsoft 365,
5. odebrać dostęp VPN,
6. zablokować dostęp do systemów firmowych,
7. usunąć użytkownika z grup,
8. odebrać dostęp do folderów i plików.

Dzięki temu były pracownik nie powinien mieć możliwości dalszego korzystania z zasobów firmy.

3. Przejęcie poczty i danych służbowych

Skrzynka e-mail pracownika często zawiera ważne informacje: ustalenia z klientami, oferty, faktury, kontakty i dokumenty. Dlatego przed usunięciem konta trzeba zdecydować, co zrobić z pocztą.

Możliwe działania to:

1. przekierowanie poczty na przełożonego,
2. ustawienie autorespondera,
3. przekazanie dostępu do skrzynki wybranej osobie,
4. archiwizacja poczty,
5. eksport danych,
6. usunięcie konta po zakończeniu okresu przejściowego.

Podobnie trzeba potraktować pliki pracownika. Dokumenty zapisane w OneDrive, na komputerze, dysku sieciowym albo w systemach firmowych powinny zostać przejęte przez firmę.

4. Odebranie sprzętu

Sprzęt firmowy powinien wrócić do firmy i zostać sprawdzony. Nie chodzi tylko o fizyczny zwrot laptopa. Trzeba też upewnić się, że urządzenie nie zawiera niepotrzebnych danych, zapisanych haseł, prywatnych kont albo aktywnych sesji.

Do odebrania mogą być:

1. laptop,
2. komputer stacjonarny,
3. telefon,
4. tablet,
5. klucze U2F,
6. tokeny,
7. karty dostępu,
8. nośniki USB,
9. sprzęt sieciowy,
10. dokumentacja techniczna.

Po zwrocie sprzęt powinien zostać przygotowany do kolejnego użycia lub wycofany z obiegu.

5. Zmiana haseł współdzielonych

Jeśli firma nadal korzysta z haseł współdzielonych, offboarding jest momentem, w którym trzeba je zmienić. Dotyczy to szczególnie haseł do narzędzi, które nie mają indywidualnych kont.

Mogą to być:

1. panele hostingowe,
2. social media,
3. konta reklamowe,
4. domeny,
5. systemy sprzedażowe,
6. sklepy internetowe,
7. narzędzia marketingowe,
8. konta dostawców,
9. poczta techniczna,
10. urządzenia sieciowe.

Docelowo warto ograniczać hasła współdzielone i przejść na indywidualne konta oraz menedżer haseł. Więcej o tym opisaliśmy w artykule Menedżer haseł w firmie. Dlaczego hasła w Excelu i przeglądarce to ryzyko?.

6. Aktualizacja dokumentacji IT

Po zakończeniu offboardingu trzeba zaktualizować dokumentację. Dzięki temu firma wie, że dostęp został odebrany, sprzęt wrócił, a konta zostały zablokowane.

W dokumentacji warto odnotować:

1. datę odebrania dostępu,
2. listę zablokowanych kont,
3. zwrócony sprzęt,
4. przejęte dane,
5. zmienione hasła,
6. przekierowania poczty,
7. usunięte grupy i uprawnienia,
8. osoby odpowiedzialne za wykonanie czynności.

Bez dokumentacji trudno udowodnić, że proces został wykonany poprawnie.

Najczęstsze błędy przy nadawaniu i odbieraniu dostępów

Największe problemy zwykle wynikają z pośpiechu i braku procedury. Firma tworzy konto, daje dostęp do wszystkiego, a po odejściu pracownika usuwa tylko skrzynkę pocztową lub nie robi nic.

Najczęstsze błędy to:

1. tworzenie wspólnych kont,
2. nadawanie zbyt szerokich uprawnień,
3. brak MFA,
4. brak osobnych kont administratorów,
5. przekazywanie komputera bez czyszczenia,
6. brak listy systemów, do których pracownik ma dostęp,
7. brak odebrania dostępu do VPN,
8. brak odebrania dostępu do plików w chmurze,
9. pozostawienie aktywnej poczty byłego pracownika,
10. brak zmiany haseł współdzielonych,
11. brak odbioru sprzętu,
12. brak dokumentacji offboardingu.

Każdy z tych błędów może wydawać się drobny. Problem pojawia się wtedy, gdy kilka z nich występuje jednocześnie.

Onboarding i offboarding a Microsoft 365

W wielu firmach centrum dostępu pracownika jest Microsoft 365. To tam znajduje się poczta, pliki, Teams, OneDrive, SharePoint i konta użytkowników. Dlatego onboarding i offboarding powinny uwzględniać to środowisko.

Przy onboardingu w Microsoft 365 warto sprawdzić:

1. licencję użytkownika,
2. adres e-mail,
3. aliasy,
4. grupy,
5. dostęp do Teams,
6. dostęp do SharePoint,
7. OneDrive,
8. MFA,
9. reguły dostępu,
10. uprawnienia administracyjne.

Przy offboardingu trzeba zwrócić uwagę na:

1. blokadę logowania,
2. wylogowanie aktywnych sesji,
3. zachowanie danych pocztowych,
4. przekierowanie poczty,
5. dostęp do OneDrive,
6. usunięcie z grup,
7. odzyskanie licencji,
8. odebranie ról administracyjnych,
9. archiwizację danych,
10. dokumentację zmian.

Microsoft 365 daje duże możliwości, ale tylko wtedy, gdy konta i uprawnienia są zarządzane świadomie.

Onboarding i offboarding a zgodność z NIS2 i bezpieczeństwem informacji

Nadawanie i odbieranie dostępów ma bezpośredni związek z bezpieczeństwem informacji. Firma powinna wiedzieć, kto ma dostęp do danych, na jakiej podstawie, w jakim zakresie i kiedy ten dostęp powinien zostać odebrany.

W kontekście wymagań bezpieczeństwa, takich jak NIS2 czy wewnętrzne procedury ochrony informacji, ważne są między innymi:

1. kontrola uprawnień,
2. rozliczalność użytkowników,
3. indywidualne konta,
4. szybkie odbieranie dostępów,
5. ochrona kont administracyjnych,
6. dokumentacja zmian,
7. cykliczny przegląd uprawnień,
8. reakcja na incydenty.

Sam onboarding i offboarding nie oznaczają automatycznej zgodności z wymaganiami, ale pomagają uporządkować jeden z najważniejszych obszarów bezpieczeństwa: kontrolę dostępu.

Więcej praktycznych wskazówek znajduje się w artykule NIS2 w praktyce. Co powinny sprawdzić firmy w obszarze IT?.

Checklista onboardingu IT

Przy przyjęciu pracownika warto przygotować prostą checklistę:

• Zgłoszono nowego pracownika do IT.
• Określono stanowisko i zakres obowiązków.
• Przygotowano konto użytkownika.
• Utworzono adres e-mail.
• Przypisano właściwe licencje.
• Nadano dostęp do potrzebnych folderów.
• Nadano dostęp do systemów firmowych.
• Skonfigurowano MFA.
• Przygotowano komputer.
• Zainstalowano potrzebne programy.
• Skonfigurowano pocztę.
• Skonfigurowano VPN, jeśli jest potrzebny.
• Przekazano instrukcję logowania.
• Zapisano sprzęt i dostęp w dokumentacji.

Checklista offboardingu IT

Przy odejściu pracownika warto wykonać drugą checklistę:

• Ustalono datę i godzinę odebrania dostępu.
• Zablokowano konto użytkownika.
• Wymuszono wylogowanie z aktywnych sesji.
• Odebrano dostęp do Microsoft 365.
• Odebrano dostęp do VPN.
• Odebrano dostęp do systemów firmowych.
• Usunięto użytkownika z grup.
• Zabezpieczono pocztę pracownika.
• Ustawiono przekierowanie lub autoresponder, jeśli jest potrzebny.
• Przejęto pliki służbowe.
• Odebrano laptop, telefon i inne urządzenia.
• Zmieniono hasła współdzielone.
• Sprawdzono konta w narzędziach zewnętrznych.
• Zaktualizowano dokumentację IT.

Jak IT-LOGIC może pomóc?

IT-LOGIC pomaga firmom uporządkować proces nadawania i odbierania dostępów. Możemy przygotować procedurę onboardingu i offboardingu, skonfigurować konta, zabezpieczyć Microsoft 365, wdrożyć MFA oraz uporządkować uprawnienia użytkowników.

Pomagamy między innymi w takich obszarach jak:

1. audyt kont i dostępów,
2. przygotowanie checklist onboardingu i offboardingu,
3. konfiguracja Microsoft 365,
4. wdrożenie MFA,
5. uporządkowanie kont administratorów,
6. przegląd uprawnień do plików,
7. zabezpieczenie poczty,
8. konfiguracja urządzeń firmowych,
9. wdrożenie menedżera haseł,
10. dokumentacja IT,
11. stała obsługa informatyczna,
12. wsparcie przy odejściu pracownika.

Więcej informacji znajdziesz na stronie outsourcing IT.

FAQ: onboarding i offboarding pracownika w IT

Co to jest onboarding IT?

Onboarding IT to techniczne przygotowanie pracownika do pracy. Obejmuje utworzenie kont, konfigurację sprzętu, nadanie dostępów, przygotowanie poczty, MFA i instrukcji.

Co to jest offboarding IT?

Offboarding IT to bezpieczne odebranie dostępu pracownikowi, który kończy współpracę z firmą. Obejmuje blokadę kont, odebranie uprawnień, przejęcie danych i zwrot sprzętu.

Dlaczego nie warto używać wspólnych kont?

Wspólne konta utrudniają kontrolę, rozliczalność i bezpieczne odebranie dostępu. Firma nie wie dokładnie, kto wykonał daną operację i komu odebrać dostęp po zakończeniu pracy.

Kiedy odebrać dostęp pracownikowi?

Dostęp powinien zostać odebrany w ustalonym terminie, najczęściej w ostatnim dniu pracy. W sytuacjach konfliktowych lub nagłych dostęp powinien być zablokowany natychmiast po decyzji osoby uprawnionej.

Czy trzeba usuwać skrzynkę e-mail byłego pracownika?

Nie zawsze od razu. Często warto najpierw zabezpieczyć pocztę, ustawić przekierowanie lub autoresponder i przejąć ważne dane. Dopiero później można zdecydować o usunięciu konta.

Czy trzeba zmieniać hasła po odejściu pracownika?

Tak, jeśli pracownik znał hasła współdzielone. Dotyczy to szczególnie paneli administracyjnych, hostingu, social media, sklepów internetowych, systemów firmowych i narzędzi marketingowych.

Czy MFA powinno być wdrożone już przy onboardingu?

Tak. MFA najlepiej wdrożyć od razu, szczególnie dla poczty, Microsoft 365, VPN, kont administratorów i systemów zawierających ważne dane.

Czy komputer po byłym pracowniku można od razu przekazać kolejnej osobie?

Nie powinno się tego robić bez sprawdzenia, wyczyszczenia i ponownej konfiguracji. Na urządzeniu mogą zostać dane, hasła, aktywne sesje lub prywatne konta.

Krótki słownik pojęć

Onboarding IT
Proces przygotowania pracownika do pracy od strony technicznej: konta, sprzęt, poczta, programy i dostępy.

Offboarding IT
Proces bezpiecznego odebrania dostępów, sprzętu i danych po zakończeniu współpracy z pracownikiem.

MFA
Uwierzytelnianie wieloskładnikowe, czyli dodatkowe zabezpieczenie logowania poza samym hasłem.

VPN
Bezpieczne połączenie zdalne do zasobów firmowych.

Konto administratora
Konto z podwyższonymi uprawnieniami, które powinno być używane tylko do czynności administracyjnych.

Uprawnienia
Zakres dostępu użytkownika do systemów, plików, folderów, aplikacji i danych.

Microsoft 365
Środowisko obejmujące między innymi pocztę, Teams, OneDrive, SharePoint i zarządzanie kontami użytkowników.

Menedżer haseł
Narzędzie do bezpiecznego przechowywania i udostępniania haseł w firmie.

Podsumowanie

Onboarding i offboarding pracownika w IT to jeden z najważniejszych elementów bezpieczeństwa firmy. Przyjęcie pracownika powinno oznaczać uporządkowane nadanie kont, sprzętu i uprawnień. Zakończenie współpracy powinno oznaczać szybkie, udokumentowane odebranie dostępu.

Największe ryzyko pojawia się wtedy, gdy firma nie wie, kto ma dostęp do danych, które konta są aktywne, gdzie są zapisane hasła i jakie urządzenia zostały przekazane pracownikom. Taki chaos może prowadzić do wycieku danych, przejęcia kont, utraty dokumentów i problemów organizacyjnych.

Dobrze przygotowana procedura, indywidualne konta, MFA, kontrola uprawnień, dokumentacja i regularny przegląd dostępów pozwalają ograniczyć te ryzyka.

Chcesz uporządkować dostępy pracowników w firmie?

IT-LOGIC pomoże przygotować procedurę onboardingu i offboardingu, sprawdzić konta, zabezpieczyć Microsoft 365, wdrożyć MFA i uporządkować dostęp do firmowych danych.

Sprawdź ofertę outsourcing IT lub skontaktuj się z IT-LOGIC: 22 786 75 15.