Offboarding IT pracownika wymaga skoordynowania odebrania dostępów z przekazaniem obowiązków, danych i sprzętu, tak aby zakończenie współpracy nie przerwało bieżących działań organizacji. Szczególne znaczenie ma ustalenie odpowiedzialności oraz momentu odcięcia dostępów, a także rozróżnienie między samym zamknięciem konta a pełnym przeglądem sesji, tokenów, integracji i urządzeń.
Plan offboardingu IT i moment odebrania dostępów
Plan offboardingu IT powinien łączyć działania formalne, organizacyjne i techniczne w jednym harmonogramie. Należy wskazać zadania, osoby odpowiedzialne oraz uzgodniony moment odebrania dostępów, odnosząc go do faktycznego ostatniego dnia pracy, który może różnić się od formalnego końca umowy.
Za koordynację terminu odpowiadają wspólnie HR, przełożony i IT. HR przekazuje informację o zakończeniu współpracy, przełożony ustala przekazanie obowiązków i wiedzy, a IT przygotowuje działania związane z dostępami, danymi i sprzętem. Harmonogram powinien uwzględniać charakter odejścia oraz jasno określać kolejność i odpowiedzialność, aby odcięcie dostępów nie nastąpiło przypadkowo ani z opóźnieniem.
Przekazanie obowiązków, wiedzy i danych
Skuteczne przekazanie obowiązków powinno zapewnić ciągłość pracy bez uzależnienia od nieformalnej wiedzy odchodzącej osoby. Zakres należy uzgodnić z przełożonym i udokumentować, wskazując osobę przejmującą projekty, zadania oraz własność firmowych danych. Dokumenty i foldery wymagają nowego właściciela jeszcze przed zamknięciem konta, a dane trzeba zabezpieczyć lub przekazać zgodnie z obowiązującą procedurą.
- Projekty i zadania – trwające oraz nieukończone prace, ich aktualny etap, priorytety, terminy, ryzyka i zależności.
- Kontakty i relacje – kluczowe osoby, ustalenia oraz sprawy wymagające dalszej koordynacji.
- Dokumenty i procedury – materiały robocze, nietypowe procesy i informacje potrzebne do kontynuowania pracy.
- Praktyczny transfer wiedzy – omówienie procesów, obserwacja pracy lub krótkie szkolenie dla osoby przejmującej obowiązki.
Dezaktywacja kont, sesji, VPN, tokenów i integracji
Dezaktywacja dostępu nie powinna ograniczać się do wyłączenia poczty. Należy objąć nią konta, aktywne sesje, VPN, sieć wewnętrzną, systemy firmowe oraz dostępy w usługach zewnętrznych, w tym chmurowych. Przegląd warto rozszerzyć o CRM, ERP, komunikatory, repozytoria, dyski, aplikacje OAuth, automatyzacje i narzędzia Shadow IT, ponieważ niezarządzane połączenia mogą pozostawać poza głównym katalogiem użytkowników.
- Konta i sesje – wyłączenie kont oraz unieważnienie aktywnych sesji i tokenów powiązanych z użytkownikiem.
- Dostępy zdalne – odebranie uprawnień do VPN, sieci wewnętrznej i systemów firmowych.
- Integracje – cofnięcie zbędnych zgód aplikacji zewnętrznych, zwłaszcza integracji OAuth.
- Tokeny i automatyzacje – aktualizacja kluczy API oraz danych logowania znanych pracownikowi, a także przypisanie automatyzacji i tokenów właścicielowi.
- Hasła współdzielone – zmiana danych do wspólnych paneli, usług zespołowych i innych kont, do których pracownik miał dostęp, oraz zapisanie ich w firmowym menedżerze haseł, jeśli jest stosowany.
Zwrot sprzętu oraz zabezpieczenie danych na urządzeniach
Zwrot sprzętu powinien obejmować wszystkie powierzone aktywa oraz jasne udokumentowanie ich stanu. Protokół zwrotu może wskazywać numery seryjne, stan techniczny, akcesoria, karty dostępu, nośniki, przekazane dokumenty i inne elementy rozliczenia. Przy pracy zdalnej sposób odbioru, na przykład przesyłka lub kurier, warto ustalić zgodnie z organizacją procesu.
- Zakres aktywów – laptopy, telefony, karty SIM, klucze sprzętowe, nośniki, karty dostępu oraz inne powierzone zasoby.
- Dokumentacja – numery seryjne, stan techniczny, akcesoria i potwierdzenie przekazania sprzętu.
- Model BYOD – uwzględnienie sesji, synchronizacji, lokalnych kopii oraz dostępu do firmowych aplikacji zgodnie z wcześniej przyjętymi zasadami organizacji.
W przypadku BYOD należy rozdzielić dane firmowe od prywatnych i postępować według ustalonej polityki dotyczącej danych lokalnych, kont oraz zarządzania urządzeniami. Samo polecenie usunięcia plików nie zastępuje pełnej procedury ochrony danych.
Weryfikacja wykonania offboardingu po odejściu pracownika
Końcowa weryfikacja offboardingu powinna potwierdzać nie tylko wykonanie zaplanowanych czynności, lecz także brak oczywistych, utrzymujących się zależności po odejściu pracownika. Podstawą jest udokumentowana checklista z harmonogramem, osobami odpowiedzialnymi i ewidencją wykonanych działań. Kontrola śladów dostępu może ujawnić pominięte uprawnienia, ale sama nie stanowi dowodu pełnej zgodności ani kompletnego audytu bezpieczeństwa.
- Dokumentacja – odnotowanie wykonanych czynności, czasu ich realizacji i osoby odpowiedzialnej.
- Ślady dostępu – przegląd logów pod kątem nietypowych logowań oraz nieudanych prób dostępu.
- Zależności – sprawdzenie aktywnych automatyzacji i aplikacji nadal korzystających z dawnych uprawnień.
- Wynik kontroli – zapisanie wykrytych odstępstw i przekazanie ich do dalszego wyjaśnienia zgodnie z procedurą organizacji.