W wielu firmach zatrudnienie nowej osoby uruchamia szybki ciąg działań: trzeba przygotować laptop, założyć pocztę, nadać dostęp do plików, skonfigurować Microsoft 365 lub Google Workspace, dodać użytkownika do systemu CRM, ERP, programu księgowego, VPN i komunikatora. Gdy pracownik odchodzi, trzeba zrobić to samo w drugą stronę — odebrać dostępy, zabezpieczyć dane i uporządkować sprzęt.
Problem zaczyna się wtedy, gdy nie ma procedury. Konta są zakładane przypadkowo, uprawnienia kopiowane od innych pracowników, hasła wysyłane mailem, a po odejściu osoby z firmy część dostępów zostaje aktywna przez tygodnie lub miesiące.
Dlatego zarządzanie dostępami pracowników powinno być jednym z podstawowych procesów IT w każdej firmie. Nie jest to temat tylko dla dużych organizacji. Dotyczy także małych i średnich firm, które korzystają z poczty firmowej, chmury, systemów sprzedażowych, księgowości, serwera plików, VPN i pracy zdalnej.
Czym jest onboarding IT?
Onboarding IT to techniczne przygotowanie nowego pracownika do pracy. Obejmuje sprzęt, konta, dostępy, oprogramowanie, zabezpieczenia i instrukcje potrzebne do rozpoczęcia pracy bez chaosu.
Dobrze przeprowadzony onboarding powinien sprawić, że pierwszego dnia pracownik ma przygotowany laptop, aktywną pocztę, dostęp do potrzebnych systemów, skonfigurowane MFA, działające aplikacje i jasną informację, gdzie zgłaszać problemy techniczne.
Nie chodzi tylko o wygodę. Dobrze zaplanowany onboarding zmniejsza ryzyko błędów, niepotrzebnych uprawnień i przypadkowego dostępu do danych, których dana osoba nie powinna widzieć.
Czym jest offboarding IT?
Offboarding IT to proces technicznego zakończenia współpracy z pracownikiem. Obejmuje odebranie dostępów, zablokowanie kont, zabezpieczenie danych, odzyskanie sprzętu, przekazanie własności plików i uporządkowanie licencji.
To jeden z najczęściej zaniedbywanych obszarów w firmach. Gdy pracownik odchodzi w dobrej atmosferze, temat dostępów bywa odkładany. Gdy odchodzi nagle, firma działa pod presją. W obu przypadkach brak procedury może prowadzić do ryzyka.
Odchodzący pracownik nie powinien po zakończeniu współpracy mieć dostępu do poczty, plików, systemów, VPN, paneli administracyjnych, grup, dysków współdzielonych ani narzędzi zewnętrznych. To podstawowa zasada bezpieczeństwa i porządku organizacyjnego.
Dlaczego zarządzanie dostępami pracowników jest tak ważne?
Zarządzanie dostępami pracowników wpływa bezpośrednio na bezpieczeństwo danych, ciągłość pracy i organizację firmy. Każde konto użytkownika jest potencjalnym punktem dostępu do informacji firmowych. Jeśli konta są źle kontrolowane, firma może nie wiedzieć, kto widzi dokumenty, kto ma dostęp do systemów i kto może wykonać krytyczne zmiany.
Największe ryzyka to aktywne konta byłych pracowników, zbyt szerokie uprawnienia, współdzielone loginy, brak MFA, nieodebrane dostępy do chmury, nieaktualne grupy użytkowników i brak dokumentacji.
Dobre zarządzanie dostępami nie musi być skomplikowane. Powinno być przewidywalne. Nowa osoba dostaje tylko te dostępy, których potrzebuje. Osoba zmieniająca stanowisko ma aktualizowane uprawnienia. Osoba odchodząca traci dostęp w ustalonym momencie.
Taki proces dobrze wpisuje się w obsługę informatyczną firm, ponieważ obejmuje codzienną pracę helpdesku, administrację kontami, wsparcie użytkowników i bezpieczeństwo środowiska.
Co powinien obejmować onboarding pracownika?
1. Przygotowanie sprzętu
Nowy pracownik powinien otrzymać przygotowany komputer lub laptop. Sprzęt powinien mieć aktualny system, wymagane oprogramowanie, ochronę endpoint, szyfrowanie dysku, konfigurację poczty, dostęp do drukarek, VPN i narzędzi firmowych.
Błędem jest wydawanie sprzętu „po poprzedniku” bez sprawdzenia danych, kont, ustawień i aktualizacji. Komputer powinien być przygotowany według standardu firmy, a nie przypadkowo.
Warto też prowadzić ewidencję sprzętu: kto otrzymał urządzenie, jaki ma numer seryjny, jakie akcesoria zostały wydane i kiedy sprzęt powinien wrócić do firmy.
2. Założenie kont użytkownika
Nowy pracownik zwykle potrzebuje konta w poczcie, Microsoft 365 lub Google Workspace, systemie CRM, ERP, programie księgowym, komunikatorze, VPN, systemie zgłoszeń, aplikacjach branżowych i zasobach sieciowych.
Konta powinny być tworzone zgodnie z ustalonym standardem nazewnictwa. Dzięki temu łatwiej nimi zarządzać, wyszukiwać je i wyłączać po zakończeniu współpracy.
Ważne jest też przypisanie konta do konkretnej osoby. Współdzielone loginy są wygodne tylko pozornie. Utrudniają kontrolę, audyt i ustalenie, kto wykonał daną czynność w systemie.
3. Nadanie właściwych uprawnień
Najbezpieczniejszą zasadą jest nadawanie minimalnych potrzebnych uprawnień. Pracownik powinien mieć dostęp do tego, co jest mu potrzebne do pracy, ale nie do wszystkiego „na wszelki wypadek”.
W praktyce warto przygotować role lub profile dostępów dla stanowisk. Inne uprawnienia ma handlowiec, inne księgowość, inne manager, inne pracownik magazynu, a inne administrator. Dzięki temu onboarding jest szybszy i bardziej uporządkowany.
Kopiowanie uprawnień od innej osoby może być ryzykowne. Jeśli poprzedni pracownik miał nadmiarowe dostępy, nowa osoba odziedziczy ten sam problem.
4. MFA i zasady logowania
MFA, czyli uwierzytelnianie wieloskładnikowe, powinno być standardem przy dostępie do poczty, chmury, VPN, paneli administracyjnych i ważnych systemów firmowych. Samo hasło nie wystarcza, szczególnie gdy pracownicy korzystają z usług zdalnie.
Podczas onboardingu warto od razu skonfigurować MFA, wyjaśnić pracownikowi, jak działa drugi składnik i co zrobić w przypadku utraty telefonu lub aplikacji uwierzytelniającej.
Dobrą praktyką jest też jasna zasada: nie zatwierdzamy logowania, którego sami nie rozpoczęliśmy. To prosta instrukcja, która może ograniczyć ryzyko przejęcia konta.
5. Instrukcja dla pracownika
Nowa osoba powinna wiedzieć, gdzie zgłaszać problemy IT, jak korzystać z VPN, gdzie przechowywać pliki, jak udostępniać dokumenty, czego nie wysyłać prywatną pocztą i co zrobić przy podejrzanym mailu.
Onboarding IT nie powinien kończyć się na przekazaniu laptopa. Pracownik powinien dostać krótką, praktyczną instrukcję: jak logować się do usług, gdzie są zasoby firmowe, jak działa helpdesk i jakie są podstawowe zasady bezpieczeństwa.
Co powinien obejmować offboarding pracownika?
1. Ustalenie terminu odebrania dostępów
Najważniejsze pytanie brzmi: kiedy dokładnie pracownik traci dostęp? W przypadku standardowego zakończenia współpracy może to być koniec ostatniego dnia pracy. W sytuacjach nagłych lub wrażliwych dostępy powinny zostać odebrane natychmiast.
Dział IT powinien otrzymać informację z wyprzedzeniem. Jeśli offboarding jest zgłaszany po fakcie, firma ryzykuje, że konto byłego pracownika pozostanie aktywne zbyt długo.
2. Blokada kont i sesji
Po zakończeniu współpracy trzeba zablokować konto pocztowe, konta w chmurze, VPN, systemach biznesowych, aplikacjach zewnętrznych i panelach administracyjnych. Warto również wylogować aktywne sesje i unieważnić tokeny dostępu, jeśli środowisko na to pozwala.
Samo zmienienie hasła może nie wystarczyć, jeśli użytkownik nadal ma aktywną sesję w aplikacji, telefonie lub przeglądarce.
3. Przekazanie poczty i plików
Dane pracownika często są nadal potrzebne firmie. Dotyczy to poczty, dokumentów, folderów projektowych, plików w OneDrive, Google Drive, SharePoint, CRM lub systemach branżowych.
Offboarding powinien określać, kto przejmuje dane, które pliki zostają zarchiwizowane, czy skrzynka ma mieć autoresponder, czy wiadomości mają być przekierowane i jak długo firma przechowuje dostęp do danych po pracowniku.
To szczególnie ważne w sprzedaży, księgowości, obsłudze klienta, projektach i administracji.
4. Zwrot sprzętu i akcesoriów
Laptop, telefon, klucze sprzętowe, tokeny MFA, karty dostępu, nośniki USB i inne urządzenia powinny wrócić do firmy. Sprzęt należy sprawdzić, usunąć dane użytkownika zgodnie z procedurą i przygotować do kolejnego użycia albo bezpiecznego wycofania.
Warto odnotować zwrot w ewidencji sprzętu. Bez takiego rejestru firma może po czasie nie wiedzieć, gdzie są urządzenia i kto za nie odpowiada.
5. Usunięcie lub zmiana uprawnień w grupach
Konta użytkowników są często powiązane z grupami. Dotyczy to Microsoft 365, Google Workspace, systemów plików, grup mailowych, Teams, SharePoint, Dysku Google, CRM i systemów wewnętrznych.
Jeśli pracownik odchodzi, trzeba sprawdzić nie tylko jego konto główne, ale też członkostwo w grupach, dostęp do folderów, role w aplikacjach i uprawnienia administracyjne.
Najczęstsze błędy w zarządzaniu dostępami
Pierwszy błąd to brak właściciela procesu. Kadry zakładają, że IT wie o odejściu pracownika, a IT dowiaduje się o tym po kilku tygodniach. Potrzebny jest prosty przepływ informacji.
Drugi błąd to zbyt szerokie uprawnienia. Nowym pracownikom często daje się dostęp do całych folderów, bo tak jest szybciej. Po roku nikt nie wie, kto właściwie widzi dokumenty klientów, umowy lub dane finansowe.
Trzeci błąd to aktywne konta byłych pracowników. Takie konta mogą być wykorzystywane przypadkowo, przez osoby trzecie lub przez atakujących, jeśli hasło wyciekło.
Czwarty błąd to współdzielone hasła i konta. Utrudniają kontrolę i zwiększają ryzyko. Każda osoba powinna korzystać z własnego konta.
Piąty błąd to brak audytu. Uprawnienia nadane kilka lat temu mogą być już zupełnie nieaktualne.
Właśnie dlatego okresowy audyt IT powinien obejmować także konta użytkowników, grupy, uprawnienia, MFA, dostęp do plików i procedury odchodzenia pracowników.
Jak uporządkować proces w małej firmie?
Mała firma nie potrzebuje skomplikowanego systemu klasy enterprise, żeby dobrze zarządzać dostępami. Wystarczy prosta lista kontrolna dla onboardingu i offboardingu.
Przy nowym pracowniku lista może obejmować: sprzęt, konto pocztowe, MFA, dostęp do plików, VPN, systemy firmowe, grupy, licencje, oprogramowanie i instrukcję dla użytkownika.
Przy odchodzącym pracowniku lista powinna obejmować: blokadę kont, wylogowanie sesji, odebranie VPN, przekazanie poczty, przejęcie plików, usunięcie z grup, cofnięcie uprawnień w aplikacjach, zwrot sprzętu i aktualizację dokumentacji.
Taki proces może obsługiwać wewnętrzna osoba odpowiedzialna za IT albo zewnętrzny dział IT. W wielu firmach dobrym rozwiązaniem jest outsourcing IT dla biznesu, ponieważ łączy helpdesk, administrację kontami, bezpieczeństwo, backup i bieżącą obsługę użytkowników.
Przykłady dla firm
Biuro rachunkowe
Biuro rachunkowe pracuje na dokumentach klientów, programach księgowych, poczcie i skanach faktur. Nowy pracownik powinien dostać dostęp tylko do klientów i folderów, które obsługuje. Po odejściu trzeba szybko odebrać dostęp do poczty, programu księgowego, dysku i systemu obiegu dokumentów.
Kancelaria
W kancelarii szczególnie ważna jest poufność. Onboarding powinien obejmować dostęp do właściwych spraw, dokumentów i skrzynek. Offboarding musi zabezpieczyć pocztę, pliki, aplikacje prawnicze i urządzenia mobilne. Warto też kontrolować, czy były pracownik nie ma dostępu do folderów udostępnionych zewnętrznie.
Firma produkcyjna
Firma produkcyjna może mieć różne typy użytkowników: biuro, magazyn, produkcję, kierowników, handlowców i administrację. Każda grupa potrzebuje innych dostępów. Pracownik magazynu nie musi widzieć danych finansowych, a pracownik biura nie musi mieć dostępu do ustawień systemów produkcyjnych.
Firma usługowa
W firmie usługowej rotacja pracowników, praca hybrydowa i dostęp do narzędzi online mogą szybko stworzyć chaos. Prosty proces onboardingu i offboardingu pozwala uniknąć aktywnych kont po byłych pracownikach, przypadkowych dostępów i niepotrzebnych licencji.
Wnioski
Zarządzanie dostępami pracowników to jeden z najważniejszych elementów bezpieczeństwa firmowego IT. Dotyczy nie tylko dużych organizacji, ale też małych i średnich firm korzystających z poczty, chmury, VPN, serwerów, CRM, ERP i aplikacji branżowych.
Dobry onboarding pozwala nowemu pracownikowi szybko rozpocząć pracę bez chaosu. Dobry offboarding chroni firmę przed pozostawieniem aktywnych kont, nieodebranych uprawnień i rozproszonych danych.
Najważniejsze zasady są proste: własne konto dla każdego użytkownika, MFA tam, gdzie to możliwe, minimalne potrzebne uprawnienia, jasna procedura odejścia pracownika, aktualna dokumentacja i regularny audyt dostępów.
Podsumowanie
Zarządzanie dostępami pracowników nie powinno być wykonywane przypadkowo. To proces, który zaczyna się przed pierwszym dniem pracy i kończy dopiero po odebraniu wszystkich dostępów, zabezpieczeniu danych oraz zwrocie sprzętu.
Firmy, które mają uporządkowany onboarding i offboarding IT, pracują sprawniej i bezpieczniej. Nowe osoby szybciej zaczynają pracę, helpdesk ma mniej chaotycznych zgłoszeń, a zarząd ma większą kontrolę nad tym, kto widzi firmowe dane.