Bezpieczeństwo przy odejściu pracownika: odszedł i zabrał wszystko ze sobą

Czym jest bezpieczeństwo przy odejściu pracownika? To zakończenie dostępu odchodzącej osoby do wszystkiego, z czego korzystała w pracy: rozmów, grup i dokumentów, a nie tylko urządzeń i konta sieciowego. Większość organizacji zamyka w ostatnim dniu widoczne zasoby, a grupy w komunikatorach i pobrane pliki zostają otwarte bez końca.

Offboarding nie kończy się w chwili zamknięcia konta sieciowego. Prawdziwy test polega na tym, czy każda rozmowa, grupa i dokument odchodzą razem z pracownikiem.

W czwartek o jedenastej Tomasz oddał laptopa.

Potem identyfikator. Podpisał kartę obiegową, uścisnął dłoń przełożonemu i odszedł po czterech i pół roku.

Jedenaście minut. Każdy krok wykonany prawidłowo.

Wieczorem, na jego prywatnym telefonie: dziewięć grup roboczych, z których nikt go nie usunął. Osiem umów zapisanych automatycznie w pamięci urządzenia. Zdjęcia cennika, który kolega przesłał dwa miesiące temu. Cały wątek o kliencie, który wciąż nie podpisał umowy. I trzy notatki głosowe ze spotkania, które nigdy nie miało być nagrywane.

Niczego z tego nie zabrał celowo. Wszystko to było tam od pierwszego dnia, bo właśnie tam organizacja kazała mu pracować.

01Co organizacja naprawdę odzyskała

Karta obiegowa służy do odzyskania tego, co organizacja widzi i posiada: urządzenia, karty dostępu, klucza do szafki, samochodu, konta sieciowego.

Zasoby widoczne. Wiadomo, że istnieją, wiadomo, ile ich jest, wiadomo, kto je ma.

Tego, co przez cztery i pół roku przeszło przez prywatny komunikator, w czwartek nikt nie odzyskał. Nikt nie wie, ile tego jest. Nikt nigdy nie mógł wiedzieć. Nie ma rejestru, nie ma inwentaryzacji, nie ma jednego ekranu, który można pokazać kierownikowi bezpieczeństwa i powiedzieć: oto, co Tomasz ma teraz u siebie.

Konto sieciowe zablokowano, zanim dotarł na parking. Dziewięć grup nadal działa, a jego telefon nadal w nich jest.

02Problemem nie jest Tomasz

Właśnie w tym miejscu większość osób stawia błędną diagnozę.

Tomasz nie złamał żadnej zasady. Niczego nie wyniósł. Korzystał z kanału, który zastał pierwszego dnia, z którego korzysta jego przełożony i którym dotarło do niego pierwsze polecenie służbowe. Gdy nieoficjalny kanał jest jedynym wystarczająco szybkim, w praktyce staje się oficjalnym. Korzystanie z niego to posłuszeństwo, a nie przewinienie.

Kolega, który przesłał cennik, też nie zrobił nic złego. Chciał zdążyć przed końcem dnia.

Zawiodło nie zachowanie ludzi. Zawiodło to, że organizacja nie ma jednego miejsca, w którym może zakończyć dostęp Tomasza. Ma kontrolę nad pocztą, nad siecią, nad systemem finansowym. Nie ma żadnej kontroli nad grupą, która żyje na telefonie, którego nie jest właścicielem.

03Kim właściwie jest użytkownik?

W prywatnych komunikatorach tożsamością jest numer telefonu. Rozsądne rozwiązanie do użytku prywatnego. W instytucji nie da się nim zarządzać.

Numer należy do pracownika, nie do Państwa. Przechodzi z nim do kolejnej pracy, także do konkurencji, jeśli tam trafi. Nie ma też żadnego związku z jego statusem zatrudnienia: aplikacja nie wie, że Tomasz odszedł, i nie da się jej o tym poinformować.

W Tawasol tożsamość definiuje organizacja. Pracownicy logują się danymi służbowymi lub według roli, a etykiety pól logowania można zmienić na Państwa własne: numer pracownika, numer dowodu osobistego, numer paszportu. Tożsamość można powiązać z Active Directory, dzięki czemu logowanie jest ujednolicone i zarządzane z jednego miejsca. Każdy użytkownik otrzymuje szczegółowe uprawnienia wynikające z jego roli.

Praktyczna różnica jest wyraźna. Członkostwo Tomasza to nie dziewięć osobnych relacji na telefonie, tylko jeden wiersz w Państwa strukturze organizacyjnej. Gdy odchodzi, administrator usuwa go z listy członków w panelu: jeden krok, jedno potwierdzenie. A gdy w jednym miesiącu odchodzi dziesięć osób, można usunąć je zbiorczo z jednego pliku.

Nikt nie musi pamiętać o dziewięciu grupach, bo do zapamiętania jest tylko jedna rzecz.

04Gdzie naprawdę znajdują się pliki?

Drugie pytanie, zadawane zawsze za późno: gdzie są dokumenty, które przeszły przez te rozmowy?

W prywatnych komunikatorach pliki leżą na serwerach dostawcy, poza Państwa infrastrukturą. Owszem, rozmowy są szyfrowane. Ale dane wyszły spod Państwa kontroli, a razem z nimi możliwość stosowania wobec nich własnych zasad.

W Tawasol platforma działa lokalnie albo w wybranej przez Państwa chmurze prywatnej, więc rozmowy i pliki pozostają w Państwa infrastrukturze i podlegają Państwa zasadom. Szczegóły konkretnej konfiguracji, w tym zależności sieciowe, zakres szyfrowania, przechowywanie kluczy i dostęp serwisowy, są uzgadniane z zespołem podczas konsultacji technicznej.

To nie jest wiersz w tabeli porównawczej. To akapit, który audytor czyta, gdy pyta, gdzie są dane i kto ma klucze. Dziś to jedno z pierwszych pytań, a nie ostatnie.

Zanim przeczytają Państwo dalej, proponujemy prosty test. Proszę poprosić dział kadr o nazwiska trzech ostatnich osób, które odeszły. Następnie zapytać dział IT, nazwisko po nazwisku: co faktycznie zostało zamknięte w dniu ich odejścia, a co wciąż jest otwarte? Proszę otworzyć dowolną starą grupę roboczą i wyszukać ich numery. Pół godziny, bez nikogo z zewnątrz. To, co Państwo otrzymają, będzie skalą obecnego narażenia, opisaną własnoręcznie.

05Pobranie pliku to nie prawo na zawsze

Ta różnica wychodzi na jaw kilka miesięcy po czyimś odejściu.

W prywatnej grupie załączniki można swobodnie pobierać. Każdy plik trafia do każdego członka i zapisuje się na każdym urządzeniu. I na tym koniec. Gdy pracownik odchodzi, zachowuje wszystko, co kiedykolwiek pobrał. Nie ma drugiego etapu ani drogi powrotnej.

W Tawasol pobranie załącznika wymaga wcześniejszego uprawnienia. Biblioteka firmowa jest centralna, a każdy plik ma w niej status bezpieczeństwa, który określa, czy w ogóle można go pobrać. Uprawnienia wynikają z roli: dokument trafia do osób, których stanowisko tego wymaga, a nie do każdego, kto akurat był w rozmowie.

I rzecz najważniejsza w czwartek: uprawnienia odchodzącego pracownika są cofane w chwili odejścia, a wraz z nimi dostęp do plików.

To zmienia charakter samego zasobu. Dokument przestaje być kopią, która rozeszła się bezpowrotnie, i staje się zasobem pozostającym pod kontrolą.

06A jeśli ktoś sfotografuje ekran?

Uczciwy zarzut: skoro może go sfotografować, co to wszystko dało?

Właśnie dlatego wycieku nie ogranicza się wyłącznie kontrolą dostępu.

Tawasol dodaje do kontroli dostępu dwie warstwy: ograniczenie zrzutów ekranu na obsługiwanych urządzeniach i dynamiczny znak wodny na dokumentach. Żadna z nich nie zapobiegnie sfotografowaniu ekranu drugim telefonem. Ale zdjęcie ze znakiem wodnym daje dochodzeniu punkt zaczepienia.

Różnica między wyciekiem, który można wyjaśnić, a takim, którego wyjaśnić się nie da, to różnica między incydentem, który się zamyka, a incydentem otwartym na zawsze.

Czwartek jeszcze raz

Ta sama scena. Wszystko, o czym była mowa, jest już wdrożone.

Tomasz podpisuje o jedenastej. Pięć minut później administrator otwiera panel i usuwa go z listy członków. Jeden krok w jednym miejscu. Jego członkostwo we wszystkich dziewięciu grupach wygasa, a razem z nim uprawnienia w Bibliotece.

Osiem umów nigdy nie było kopiami na jego urządzeniu. Były dokumentami w centralnej Bibliotece, do których miał dostęp z racji swojej roli, a części z nich od początku nie dało się pobrać. Rola się skończyła, więc skończył się dostęp.

Nic nie zapobiegnie zdjęciu zrobionemu innym urządzeniem. Ale jedyny sfotografowany dokument ma znak wodny, który pomaga ustalić, kto go wtedy przeglądał.

Oddał laptopa i identyfikator. Tym razem oddał też dostęp.

Cała różnica polega na tym, że dostęp stał się czymś, co organizacja posiada i widzi, a nie czymś, co żyje na urządzeniu, którego nie posiada i nie widzi.

07Brakująca strona w karcie obiegowej

W tym miesiącu ktoś odejdzie z Państwa organizacji. Karta obiegowa, którą podpisze, obejmuje laptopa, identyfikator i klucz do szafki, a o czterech latach rozmów i dokumentów nie mówi nic. Powstała w świecie, w którym zasoby były rzeczami noszonymi w ręku.

Problemem nigdy nie był Tomasz. Problemem jest to, że karta obiegowa nie wie, że powinna zapytać o to, co najważniejsze.

Prosimy przesłać nam obecną procedurę odejścia pracownika, a odeślemy ją w formie Raportu narażenia przy offboardingu: przy każdym kroku pokażemy, co faktycznie zostaje zamknięte, co pozostaje otwarte po odejściu pracownika i kto odpowiada za decyzję o zamknięciu. To pisemny dokument dla komitetu ryzyka, a nie prezentacja. Prosimy pisać na adres info@it-blocks.com z dopiskiem „Raport narażenia przy offboardingu” w temacie wiadomości.