Odejście pracownika: jak odebrać dostępy (checklista offboardingu)

Konto, które działa po odejściu pracownika, daje osobie spoza firmy dostęp do poczty, dokumentów, danych klientów i systemów. Nie trzeba zakładać złej woli. Wystarczy, że ktoś zaloguje się z prywatnego telefonu, na którym nadal jest zapisane hasło, albo że jego dane logowania wyciekną po latach z innej usługi.

Skutki ponosi firma, a nie były pracownik. Jeśli przez takie konto dane osobowe trafią w niepowołane ręce, firma jako administrator danych musi ocenić, czy doszło do naruszenia ochrony danych, i ewentualnie zgłosić je do Prezesa UODO. RODO definiuje naruszenie jako naruszenie bezpieczeństwa prowadzące m.in. do nieuprawnionego dostępu do danych osobowych (art. 4 pkt 12). Zgłoszenie, jeśli jest wymagane, składa się bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 ust. 1).

Offboarding pracownika, czyli uporządkowane zakończenie jego współpracy z firmą, jest w części dotyczącej dostępów prostą procedurą. Działa jednak tylko wtedy, gdy ktoś ją wcześniej spisał i przypisał każdy krok do konkretnej osoby.

Dostęp zostaje aktywny zwykle wtedy, gdy informacja o odejściu nie dociera do właściwych osób. Dział kadr wie o odejściu, ale nie przekazuje tego osobie, która zarządza kontami. Osoba od IT zamyka konto pocztowe, ale nie wie, że pracownik miał też dostęp do portalu dostawcy albo do bankowości elektronicznej.

Dlatego proces potrzebuje trzech ról. Dział kadr uruchamia go w momencie, gdy znana jest data odejścia. Osoba odpowiedzialna za IT, własny pracownik albo zewnętrzny serwis, wykonuje czynności techniczne. Przełożony odchodzącego wskazuje, z jakich systemów, kont i dokumentów korzystał, i potwierdza na koniec, że lista jest kompletna.

Amerykański Narodowy Instytut Standaryzacji i Technologii (NIST) w katalogu zabezpieczeń SP 800-53 zaleca, żeby zarządzanie kontami było powiązane z procesem kadrowym, a osoby zarządzające kontami dostawały powiadomienie o odejściu lub przeniesieniu pracownika w ustalonym terminie. W małej firmie wystarczy do tego wspólny formularz albo zadanie w systemie kadrowym, które trafia do wszystkich trzech osób.

Najwięcej pracy wykonuje się przed dniem odejścia, a nie w nim. Zacznij od spisu dostępów odchodzącej osoby. Jeśli firma prowadzi rejestr nadanych uprawnień, wystarczy go wydrukować. Jeśli nie, przełożony razem z osobą od IT spisuje je na podstawie tego, czym pracownik zajmował się na co dzień.

Równolegle zaplanuj przekazanie spraw: kto przejmuje skrzynkę, foldery, otwarte wątki z klientami i role w systemach. Dokumenty trzymane na prywatnych dyskach w chmurze albo na komputerze bez kopii trzeba przenieść do zasobów firmy, zanim konto zostanie zablokowane.

Jeśli rozstanie odbywa się w sporze albo jest zwolnieniem dyscyplinarnym, kolejność się zmienia. NIST podkreśla, że przy zwolnieniu z przyczyn leżących po stronie pracownika szybkie odebranie dostępów jest szczególnie ważne, a w niektórych sytuacjach firma rozważa zablokowanie kont jeszcze przed poinformowaniem pracownika. Uzgodnij wtedy z działem kadr dokładną godzinę rozmowy, a osoba od IT blokuje dostęp w trakcie jej trwania.

Poniższą listę możesz przenieść do własnej procedury i odhaczać przy każdym odejściu. Kolejność ma znaczenie: najpierw odcinasz możliwość logowania, potem porządkujesz to, co zostało.

Dwa pojęcia z listy wymagają wyjaśnienia. MFA, czyli uwierzytelnianie wieloskładnikowe, to logowanie hasłem i dodatkowym potwierdzeniem, np. w aplikacji na telefonie. Logowanie jednokrotne to rozwiązanie, w którym jedno konto firmowe otwiera dostęp do wielu aplikacji. Jeśli firma go używa, blokada tego konta odcina większość dostępów naraz, ale nie te aplikacje, do których pracownik logował się osobnym hasłem.

Usunięcie konta w dniu odejścia to drugi skrajny błąd. Firma traci korespondencję z klientami, ustalenia z dostawcami i dokumenty, które istniały tylko w tej skrzynce. NIST w zabezpieczeniu dotyczącym odejścia pracownika wymienia osobno obowiązek zachowania dostępu do informacji i systemów, którymi zarządzał odchodzący.

Bezpieczna kolejność wygląda tak: konto jest zablokowane, więc były pracownik nie może się zalogować, a osoba przejmująca sprawy dostaje dostęp do potrzebnej korespondencji i plików. W skrzynce ustaw automatyczną odpowiedź z informacją, do kogo kierować sprawy.

Skrzynka imienna zawiera też prywatne wiadomości i dane osobowe innych osób. Okres, przez który ją zachowujesz, oraz zasady wglądu w jej treść ustal z osobą, która w firmie odpowiada za ochronę danych osobowych, i zapisz je w procedurze, zamiast decydować za każdym razem od nowa.

Dostępy narastają także bez odejścia. Pracownik, który przeszedł z księgowości do sprzedaży, często zachowuje uprawnienia z obu działów. NIST zaleca, żeby przy każdej trwałej zmianie stanowiska potwierdzić, które dostępy są nadal potrzebne, i odebrać pozostałe.

Ten sam problem dotyczy firm zewnętrznych: serwisu informatycznego, biura rachunkowego, agencji marketingowej, programistów. Ich pracownicy też odchodzą, a Ty się o tym nie dowiadujesz. W umowie zapisz obowiązek informowania Cię o odejściu osoby, która ma dostęp do Twoich systemów, i termin, w jakim dostawca ma to zrobić.

Nawet dobra checklista nie wychwyci dostępu, o którym nikt nie wiedział. Dlatego obok procedury odejścia potrzebny jest okresowy przegląd kont. Osoba od IT przygotowuje listę aktywnych kont w najważniejszych systemach, a kierownicy działów potwierdzają, kto z ich zespołu powinien mieć dostęp i w jakim zakresie.

Częstotliwość przeglądu ustala firma. NIST pozostawia ją do decyzji organizacji, a ustawa o KSC wymaga środków proporcjonalnych do ryzyka. W praktyce warto zacząć od systemów z danymi klientów, finansami i uprawnieniami administratora, bo tam pozostawione konto kosztuje najwięcej. Następnie obejmij przeglądem pozostałe systemy, z których korzystają pracownicy.

Przy okazji przeglądu sprawdź, czy na zablokowanych kontach byłych pracowników nie ma prób logowania. Taki sygnał może oznaczać, że ktoś nadal próbuje korzystać z konta, na przykład z urządzenia z zapisanym hasłem, i jest powodem, żeby zmienić hasła do systemów, które ta osoba znała.

RODO nie zawiera listy kroków przy odejściu pracownika. Wymaga natomiast, żeby administrator wdrożył środki bezpieczeństwa odpowiednie do ryzyka, w tym chroniące przed nieuprawnionym dostępem do danych (art. 32 ust. 1 i 2), oraz żeby osoby działające z jego upoważnienia przetwarzały dane wyłącznie na jego polecenie (art. 29 i art. 32 ust. 4). Osoba, która już nie pracuje w firmie, nie działa z jej upoważnienia, więc jej dostęp do danych trzeba zakończyć.

Ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu obowiązującym od 3 kwietnia 2026 r. wymienia wśród środków, które podmiot kluczowy lub ważny musi wdrożyć, bezpieczeństwo zasobów ludzkich, zarządzanie aktywami i polityki kontroli dostępu (art. 8 ust. 1 pkt 2 lit. d, m i n). Podmioty, które spełniały przesłanki w dniu wejścia nowelizacji w życie, realizują te obowiązki w terminie 12 miesięcy, czyli do 3 kwietnia 2027 r. (art. 33 ust. 1 ustawy zmieniającej). Za ich wykonanie odpowiada kierownik podmiotu (art. 8c).

Jeśli Twoja firma nie podlega ustawie, procedura odejścia i tak się przydaje. Pytanie o nią może się pojawić w ankietach bezpieczeństwa od klientów, a przy kontroli albo naruszeniu danych pozwala wykazać, jakie środki stosowałeś.

Przygotowujemy procedurę odejścia i zmiany stanowiska dopasowaną do systemów, z których korzysta Twoja firma, przeprowadzamy przegląd uprawnień i pomagamy wdrożyć zarządzanie tożsamością oraz MFA, tak żeby blokada jednego konta odcinała możliwie wszystkie dostępy.