Co się dzieje z hasłami po odejściu pracownika

W teorii proces offboardingu – czyli odejścia pracownika z firmy wygląda prosto: pracownik kończy współpracę, dział IT wyłącza konta, sprzęt wraca do firmy, sprawa zamknięta. W praktyce, z tego co widzę, offboarding haseł to jeden z najbardziej zaniedbanych elementów bezpieczeństwa w polskich firmach i jeden z tych, które najtrudniej naprawić po fakcie.

Dostęp, który nikt nie pamięta, że istnieje

Problem zaczyna się od tego, że rzadko istnieje pełna lista miejsc, do których dany pracownik miał dostęp. Konto domenowe wyłącza się automatycznie, ale hasło do wspólnego konta w systemie CRM, dostęp do panelu hostingowego, czy dane logowania zapisane w przeglądarce na firmowym laptopie – to wszystko zwykle pozostaje poza zasięgiem standardowej procedury offboardingu.

Z naszego raportu „Cyberbezpieczeństwo w polskich MŚP” wynika, że 49% firm nie ma żadnej sformalizowanej procedury reagowania na incydent, a to właśnie procedura reagowania powinna obejmować też scenariusz, w którym były pracownik ma nadal aktywny dostęp. Bez formalnego procesu offboarding sprowadza się do pamięci osoby odpowiedzialnej za IT, a pamięć zawodzi, zwłaszcza przy rotacji sięgającej kilkunastu osób rocznie.

Dlaczego to wymóg, nie dobra praktyka

NIS2 i KSC wprost wymagają zarządzania dostępem jako elementu kontroli bezpieczeństwa, a audyt zgodności pyta nie tylko o to, czy dostęp można odebrać, ale czy firma potrafi to zrobić szybko i w sposób udokumentowany. Kontrola dostępu obejmuje też okres po zakończeniu zatrudnienia – konto, które formalnie powinno zniknąć, a nadal działa kilka miesięcy po odejściu pracownika, to naruszenie wprost, nie kwestia interpretacji.
Ryzyko nie jest teoretyczne. Osoba, która rozstała się z firmą w złych relacjach i wciąż ma dostęp do systemu księgowego lub CRM, to jeden z najczęściej pomijanych wektorów w ocenach ryzyka, jakie prowadzę. Zarządy skupiają się na atakach zewnętrznych, a pomijają dostęp, który sami zostawili otwarty.

Co zmienia scentralizowane zarządzanie hasłami

Menedżer haseł, nie jest systemem IAM i sam nie odcina dostępu do aplikacji – to wciąż robią same systemy albo katalog tożsamości, jeśli firma go ma. To, co zmienia, to widoczność i tempo reakcji. Administrator w jednym miejscu widzi wszystkie konta współdzielone, do których dana osoba miała wgląd, i jednym ruchem odbiera jej dostęp do przechowywanych tam haseł. Jeśli ktoś zdążył zapamiętać hasło, samo odebranie dostępu do bazy go nie unieważni – trzeba je jeszcze zmienić na koncie docelowym. Różnica polega na tym, że menedżer haseł od razu pokazuje, które konta wymagają takiej rotacji, zamiast zostawiać to zgadywaniu administratora.

To rozwiązuje też odwrotny problem: kiedy trzeba udowodnić podczas audytu NIS2 lub ISO 27001, że komuś odebrano wgląd w dane hasło w konkretnym dniu, log z systemu zarządzania hasłami jest dowodem. Wpis w arkuszu Excel „odebrano dostęp” nie jest dowodem niczego, bo nikt nie może zweryfikować, kiedy faktycznie został zaktualizowany.

Lista kontrolna offboardingu

Dobra procedura offboardingu haseł obejmuje kilka elementów, które warto sprawdzić, zanim zostaną potrzebne:

• Pełny rejestr kont współdzielonych, do których dany pracownik miał dostęp, aktualizowany na bieżąco, nie odtwarzany z pamięci w dniu odejścia.
• Jednoetapowe odbieranie dostępu przez system zarządzania hasłami, zamiast ręcznej zmiany haseł na każdym koncie osobno.
• Wymuszoną zmianę haseł do kont, których dany pracownik znał, nawet jeśli formalnie miał do nich tylko tymczasowy dostęp.
• Zapis w dzienniku zdarzeń, który można pokazać podczas audytu jako dowód terminowego odebrania dostępu.

Offboarding, który polega na dobrej pamięci administratora IT, prędzej czy później zawiedzie. Nie dlatego, że administrator jest niedbały, tylko dlatego, że skala dostępów w przeciętnej firmie dawno przekroczyła to, co da się utrzymać w głowie.

Koszt, którego zarząd zwykle nie widzi

W naszym badaniu 34% firm nie zna kosztu dnia przestoju IT, a kolejne 37% ma jedynie szacunkową wiedzę na ten temat. Dostęp byłego pracownika, wykorzystany do sabotażu lub przypadkowego błędu, generuje dokładnie taki koszt – tyle że nieprzewidziany i trudny do wytłumaczenia zarządowi, który nie wiedział, że problem w ogóle istnieje.

Dlaczego dział IT sam tego nie naprawi

Offboarding haseł nie jest problemem technicznym, tylko organizacyjnym. Dział IT wie, jak odebrać dostęp – nie zawsze wie, że powinien, bo informacja o odejściu pracownika dociera do niego z opóźnieniem, czasem dopiero w dniu, w którym osoba faktycznie przestaje przychodzić do biura. Bez formalnego procesu łączącego dział kadr, przełożonego i IT w jeden przepływ informacji, nawet najlepiej wyszkolony administrator działa z opóźnieniem, którego nie da się uniknąć samą dobrą wolą.
To dlatego rekomendacje z naszego raportu stawiają ustalenie struktury decyzyjnej na wypadek incydentu i procedurę reagowania jako priorytety do wdrożenia w pierwszej kolejności – jeszcze przed symulacją phishingową czy pełnym audytem zgodności. Offboarding haseł jest naturalnym elementem tej samej procedury, nie osobnym projektem.

Co pokazuje audyt zgodności

Podczas przygotowań do audytu NIS2 lub ISO 27001 pytanie o offboarding pojawia się niemal zawsze w tej samej formie: proszę pokazać, jak wygląda proces odbierania dostępu, i proszę o przykład z ostatnich trzech miesięcy. W firmach bez sformalizowanej procedury odpowiedź sprowadza się do zapewnienia, że „na pewno to zrobiliśmy”, bez możliwości pokazania dowodu. Audytor traktuje brak dowodu tak samo, jak brak samego działania – z punktu widzenia zgodności to różnica bez znaczenia.

Co z kontami zewnętrznymi i konsultantami

Offboarding pracownika etatowego to tylko część obrazu. Równie często problem dotyczy freelancerów, agencji marketingowych czy firm wdrożeniowych, które otrzymują dostęp do systemów na czas projektu i zatrzymują go na stałe, bo nikt nie ustalił daty wygaśnięcia uprawnień z góry. W naszych audytach konta zewnętrznych dostawców, aktywne miesiące po zakończeniu współpracy, pojawiają się równie często jak konta byłych pracowników etatowych – a bywają trudniejsze do namierzenia, bo nie figurują w standardowym systemie kadrowym.

Dobra praktyka to nadawanie dostępu zewnętrznemu z góry określonym terminem ważności, a nie na czas nieokreślony „do odwołania”.