Offboarding pracownika: dostępy i sprzęt

Offboarding pracownika powinien rozpocząć się jeszcze przed jego ostatnim dniem pracy. Prawidłowo przeprowadzony proces obejmuje nie tylko zwrot laptopa i identyfikatora, lecz także zablokowanie kont, unieważnienie aktywnych sesji, zabezpieczenie danych służbowych, przejęcie dokumentów oraz ustalenie zasad dotyczących poczty elektronicznej. Firma powinna przy tym wiedzieć, kto odpowiada za każdą czynność, kiedy ma ją wykonać i jak potwierdzić jej realizację. W artykule przedstawiamy procedurę, która łączy zadania HR, przełożonego, IT, administracji, IOD i compliance. Checklista uwzględnia zwykłe zakończenie współpracy, odejście pracownika mającego szerokie uprawnienia oraz sytuację, w której sprzęt nie został zwrócony albo po ustaniu zatrudnienia wykryto próbę logowania.

Najważniejsze informacje

Zablokowanie konta nie kończy offboardingu. Trzeba również unieważnić aktywne sesje, tokeny, certyfikaty, klucze i metody uwierzytelniania.
Termin odebrania dostępu powinien wynikać z rzeczywistego zakończenia obowiązków i oceny ryzyka.
Przed usunięciem konta trzeba zabezpieczyć dokumenty firmowe, historię potrzebną do rozliczalności oraz dane należące do organizacji.
Konto pocztowe byłego pracownika nie powinno działać bezterminowo ani służyć jego następcy do wysyłania wiadomości pod cudzym nazwiskiem.
Zwrot urządzenia należy potwierdzić protokołem obejmującym numer seryjny, wyposażenie, stan sprzętu i dalszy sposób postępowania z danymi.
Proces powinien pozostawić dowody wykonania czynności, na przykład zgłoszenia w systemie IT, logi, protokół zwrotu i zamkniętą checklistę.

Dlaczego offboarding jest procesem bezpieczeństwa informacji?

Po zakończeniu współpracy ustaje potrzeba korzystania przez pracownika z firmowych systemów. Pozostawienie aktywnego konta może umożliwić dostęp do poczty, dokumentów klientów, systemu księgowego, repozytoriów kodu, narzędzi analitycznych albo paneli administracyjnych.

Nie każdy taki przypadek oznacza od razu naruszenie ochrony danych osobowych. Tworzy jednak podatność, która może doprowadzić do nieuprawnionego ujawnienia, usunięcia lub zmiany informacji. Jeżeli były pracownik albo osoba korzystająca z jego danych logowania uzyska dostęp do danych osobowych, firma powinna ocenić, czy doszło do naruszenia wymagającego dalszej reakcji.

RODO wymaga zastosowania środków odpowiednich do ryzyka, zapewnienia poufności systemów oraz kontroli osób działających z upoważnienia administratora. Rozporządzenie nie wskazuje gotowej listy czynności offboardingowych, lecz to administrator musi wykazać, że dostęp do danych otrzymują wyłącznie osoby, które rzeczywiście go potrzebują.

Z tego powodu procedura odejścia powinna zostać oceniona podczas przeglądu zarządzania dostępami, urządzeniami i upoważnieniami. Pomóc w tym może audyt zgodności i zarządzania dostępami.

BPPZ – Biuro Porad Prawnych Zacharski

Zadzwoń Napisz wiadomość

Kiedy odebrać dostęp odchodzącemu pracownikowi?

Nie istnieje jeden termin odpowiedni dla każdej sytuacji. Dostęp powinien zostać odebrany najpóźniej w chwili, w której dana osoba przestaje wykonywać obowiązki wymagające korzystania z systemu.

W przypadku zaplanowanego i spokojnego odejścia blokada może nastąpić pod koniec ostatniego dnia pracy. Wcześniej pracownik przekazuje dokumenty, sprawy klientów, urządzenia i informacje potrzebne następcy.

Jeżeli rozwiązaniu współpracy towarzyszy konflikt, istnieje ryzyko skopiowania danych albo pracownik posiada uprzywilejowane konto administracyjne, blokadę można zaplanować równocześnie z przekazaniem informacji o zakończeniu współpracy. Działanie HR i IT musi być wtedy dokładnie skoordynowane. Zbyt wczesne zablokowanie konta może zakłócić wykonywanie obowiązków, a zbyt późne pozostawia niekontrolowany dostęp.

Sytuacja	Rekomendowany moment działania	Dodatkowe zabezpieczenia
Zaplanowane odejście	Po zakończeniu ostatniego dnia lub wcześniej ustalonej pracy operacyjnej	Przekazanie spraw, plików i urządzeń przed blokadą
Natychmiastowe zakończenie współpracy	Równocześnie z poinformowaniem pracownika	Unieważnienie sesji, zabezpieczenie logów, odbiór urządzeń
Konto administracyjne lub wysokie ryzyko	W ściśle skoordynowanym terminie ustalonym przez HR, IT i przełożonego	Zmiana wspólnych tajemnic, kluczy, kodów awaryjnych i kont serwisowych
Zmiana stanowiska w tej samej firmie	W chwili zmiany zakresu obowiązków	Odebranie starych ról i przyznanie nowych zgodnie z zasadą najmniejszych uprawnień
Koniec współpracy z kontraktorem	Z chwilą zakończenia zlecenia lub dostępu do projektu	Sprawdzenie kont utworzonych przez klienta, dostawcę i partnerów

Wytyczne techniczne ENISA dotyczące zarządzania ryzykiem cyberbezpieczeństwa wskazują między innymi na potrzebę terminowego odebrania dostępu, zwrotu firmowego mienia i zachowania dowodów wykonania tych czynności. Proces nie powinien więc opierać się na nieformalnej wiadomości wysłanej administratorowi w ostatniej chwili.

Kto odpowiada za offboarding pracownika?

Najczęstszym źródłem błędów nie jest brak narzędzi, lecz brak właściciela procesu. HR może wiedzieć o odejściu pracownika, ale IT nie zawsze otrzymuje informację o dokładnej dacie i godzinie. Administratorzy mogą zablokować konto główne, nie wiedząc o dostępie do panelu klienta albo zewnętrznej platformy reklamowej.

Podział odpowiedzialności powinien wyglądać następująco:

HR uruchamia procedurę, potwierdza termin i charakter zakończenia współpracy oraz informuje wskazane osoby.
Przełożony identyfikuje prowadzone sprawy, kontakty, pliki, zadania, konta projektowe i odpowiedzialności wymagające przekazania.
IT blokuje konta, unieważnia sesje, odbiera urządzenia, zabezpiecza dane i dokumentuje wykonane operacje.
Administracja odbiera identyfikatory, klucze, karty dostępu, dokumenty papierowe i pozostałe wyposażenie.
Finanse wycofują pełnomocnictwa, karty płatnicze, limity, uprawnienia zakupowe i dostęp do bankowości.
IOD lub compliance wspierają ocenę dostępu do poczty, zakresu przechowywania danych, incydentów oraz zgodności procedury.
Zarząd zatwierdza zasady i zapewnia, że proces ma właściciela, zasoby oraz mechanizm kontroli.

IOD nie powinien zastępować HR, IT ani przełożonego w wykonywaniu ich operacyjnych obowiązków. Jego rolą jest niezależne doradztwo i monitorowanie zgodności, a nie samodzielne administrowanie wszystkimi kontami.

Offboarding pracownika krok po kroku

Poniższa checklista powinna zostać dostosowana do systemów, rodzaju zatrudnienia, stanowiska oraz poziomu dostępu. Firma może prowadzić ją w systemie zgłoszeń, narzędziu HR albo w kontrolowanym formularzu elektronicznym.

Obszar	Czynność	Odpowiedzialny	Dowód wykonania
Uruchomienie procesu	Potwierdzenie ostatniego dnia i godziny dostępu	HR	Zgłoszenie lub karta offboardingu
Sprawy służbowe	Przekazanie klientów, projektów, dokumentów i terminów	Przełożony	Protokół przekazania
Konto główne	Zablokowanie logowania w katalogu użytkowników lub systemie SSO	IT	Log systemowy lub zamknięte zgłoszenie
Aktywne sesje	Unieważnienie sesji, tokenów, kluczy bezpieczeństwa i metod MFA	IT	Zapis operacji administracyjnej
Poczta i komunikacja	Wyłączenie logowania, decyzja o autoresponderze i zabezpieczenie danych służbowych	IT, przełożony, HR	Zatwierdzona konfiguracja
Systemy biznesowe	Odebranie dostępu do CRM, ERP, HR, księgowości, chmury i narzędzi projektowych	IT i właściciele systemów	Lista zamkniętych kont
Dostępy techniczne	Unieważnienie VPN, SSH, API, certyfikatów, repozytoriów i kont administracyjnych	IT lub bezpieczeństwo	Logi i rejestr kluczy
Konta zewnętrzne	Odebranie dostępu do paneli klientów, dostawców, reklam i mediów społecznościowych	Przełożony i właściciel usługi	Potwierdzenie od właściciela konta
Narzędzia AI	Usunięcie z przestrzeni firmowych, odebranie kluczy API, integracji i dostępu do firmowych baz wiedzy	IT i właściciel narzędzia	Rejestr licencji i integracji
Sprzęt	Zwrot laptopa, telefonu, tokenów, nośników, kart SIM i akcesoriów	IT lub administracja	Protokół z numerami seryjnymi
Dostęp fizyczny	Zwrot identyfikatora, kluczy, pilota, karty parkingowej i kart dostępu	Administracja	Protokół zwrotu
Uprawnienia finansowe	Wycofanie kart, pełnomocnictw, zatwierdzania wydatków i dostępu do bankowości	Finanse	Potwierdzenie blokady
Weryfikacja	Sprawdzenie, czy nie pozostało aktywne konto lub niezamknięty wyjątek	Właściciel procesu	Zatwierdzona checklista

W organizacji, która nie posiada spójnego i aktualnego wykazu systemów, checklista może ujawnić poważniejszy problem: firma może nie wiedzieć, w jakich systemach pracownik ma konto ani do jakich danych i zasobów posiada dostęp. W takim przypadku należy najpierw stworzyć rejestr systemów i urządzeń, wskazać ich właścicieli biznesowych oraz zdefiniować role i poziomy uprawnień. Wdrożenie odpowiednich procedur ochrony danych może jednocześnie uporządkować cały proces nadawania, zmiany i odbierania dostępów.

Dlaczego zmiana hasła nie zawsze wystarcza?

Zmiana hasła może zablokować kolejne logowanie, ale nie zawsze przerywa sesje, które zostały uwierzytelnione wcześniej. Użytkownik może pozostawać zalogowany w aplikacji mobilnej, komunikatorze, przeglądarce albo na urządzeniu prywatnym.

W systemach korzystających z tokenów dostęp może działać do czasu ich wygaśnięcia lub ręcznego unieważnienia. Oficjalna dokumentacja Microsoft Entra zaleca w sytuacjach wymagających szybkiego odebrania dostępu połączenie blokady logowania z unieważnieniem tokenów odświeżania i aktywnych sesji.

IT powinno więc sprawdzić co najmniej:

konto katalogowe i logowanie SSO,
aktywne sesje w aplikacjach,
uwierzytelnianie wieloskładnikowe,
klucze sprzętowe i kody odzyskiwania,
certyfikaty i profile VPN,
klucze API oraz SSH,
hasła aplikacyjne,
urządzenia zarejestrowane w systemie,
dostęp przez konta wspólne lub techniczne,
dane zapisane w firmowym menedżerze haseł.

Jeżeli pracownik znał wspólne hasło do konta technicznego, panelu klienta albo urządzenia, samo usunięcie jego imiennego konta nie rozwiązuje problemu. Tajemnica powinna zostać zmieniona, a dostęp przeniesiony do kont przypisanych konkretnym osobom.

Co zrobić ze skrzynką e-mail byłego pracownika?

Adres zawierający imię i nazwisko pracownika jest daną osobową. Jednocześnie skrzynka może zawierać dokumenty należące do firmy, ustalenia z klientami i informacje potrzebne do kontynuowania spraw.

Przed odejściem pracownika należy przekazać potrzebną dokumentację do właściwych repozytoriów. Skrzynka pocztowa nie powinna być jedynym miejscem przechowywania umów, decyzji i historii projektu.

Po zakończeniu pracy bezpieczny model może obejmować:

zablokowanie możliwości logowania przez byłego pracownika;
zabezpieczenie danych służbowych, które firma ma podstawę zachować;
ustawienie automatycznej odpowiedzi informującej, że dana osoba nie pracuje już w organizacji;
podanie aktualnego adresu kontaktowego;
ustalenie terminu wyłączenia autorespondera i usunięcia konta;
ograniczenie dostępu do zawartości skrzynki do upoważnionych osób.

W decyzji DS.523.2941.2022 UODO zaakceptował w konkretnych okolicznościach czasowe utrzymywanie adresu z automatyczną odpowiedzią, gdy nikt nie zapoznawał się z nową korespondencją, a komunikat wskazywał nowy kontakt. Nie jest to jednak ogólna zgoda na bezterminowe pozostawianie kont byłych pracowników.

Nie należy przekazywać następcy aktywnego konta podpisanego imieniem i nazwiskiem poprzednika. Może to wprowadzać odbiorców w błąd i utrudniać ustalenie, kto rzeczywiście wykonał daną czynność. Lepszym rozwiązaniem są konta funkcyjne, na przykład sprzedaż@firma.pl, oraz jawne przekazanie prowadzenia spraw.

Jak postępować ze sprzętem i urządzeniami prywatnymi?

Protokół zwrotu powinien obejmować nie tylko laptop i telefon, lecz także ładowarki, stacje dokujące, nośniki pamięci, tokeny, karty SIM i inne elementy wyposażenia. Trzeba zapisać numery seryjne, stan urządzeń, brakujące akcesoria oraz datę zwrotu.

Urządzenia nie powinny być automatycznie kasowane natychmiast po odbiorze. Najpierw trzeba sprawdzić, czy znajdują się na nich pliki służbowe, logi związane z incydentem albo informacje objęte obowiązkiem dalszego przechowywania. Dopiero po zabezpieczeniu potrzebnych danych urządzenie można wyczyścić, ponownie skonfigurować i przekazać kolejnej osobie.

W przypadku urządzeń prywatnych firma powinna korzystać z wcześniej ustalonych zasad BYOD. Jeżeli na telefonie działa zarządzany profil służbowy, można usunąć firmowe aplikacje, certyfikaty i dane w granicach posiadanych uprawnień. Całkowite wymazanie prywatnego urządzenia bez odpowiedniej podstawy i wcześniejszych ustaleń byłoby działaniem nadmiernym.

Jeżeli sprzęt nie został zwrócony, IT powinno zablokować konto, unieważnić sesje i zastosować dostępne mechanizmy zdalnej blokady. Jednocześnie HR lub dział prawny prowadzi sprawę zwrotu mienia. Firma powinna ocenić, jakie dane znajdowały się na urządzeniu, czy były zaszyfrowane i czy powstało ryzyko nieuprawnionego dostępu.

Praktyczny scenariusz: odejście administratora IT

Administrator IT kończy współpracę w piątek. Ma konto domenowe, dostęp do chmury, VPN, repozytoriów, systemu kopii zapasowych, konsoli bezpieczeństwa oraz wspólnych kont serwisowych.

Samo zablokowanie jego konta domenowego nie wystarczy. Przed odejściem firma powinna zinwentaryzować obsługiwane systemy, przekazać dokumentację i wyznaczyć nowego właściciela. W ustalonej godzinie IT blokuje konto imienne, unieważnia sesje i klucze, odbiera urządzenia oraz usuwa pracownika z kontaktów awaryjnych. Hasła i klucze wspólnych kont zostają zmienione.

Po wykonaniu operacji druga upoważniona osoba sprawdza listę systemów. Przez ograniczony czas monitorowane są nieudane próby logowania z użyciem wycofanych danych. Jeżeli wykryto próbę dostępu albo nietypowy transfer plików, firma zabezpiecza logi i uruchamia procedurę obsługi incydentu.

Ten przykład pokazuje, dlaczego checklista powinna uwzględniać zakres uprawnień, a nie wyłącznie stanowisko zapisane w umowie.

Najczęstsze błędy podczas odejścia pracownika

Informacja dla IT wysłana zbyt późno

Administrator otrzymuje zgłoszenie już po wyjściu pracownika z biura. Nie ma czasu na ustalenie systemów, zabezpieczenie danych i skoordynowanie blokady.

Usunięcie tylko konta głównego

Firma blokuje Microsoft 365 lub Google Workspace, ale pozostawia dostęp do CRM, panelu klienta, VPN, narzędzia reklamowego albo repozytorium kodu.

Brak unieważnienia sesji

Hasło zostaje zmienione, lecz aplikacja na telefonie nadal korzysta z ważnego tokenu.

Korzystanie z kont współdzielonych

Po odejściu jednej osoby nie można ustalić, kto nadal zna hasło ani kto wykonał operację zapisaną pod wspólną nazwą użytkownika.

Bezterminowe utrzymywanie skrzynki

Konto byłego pracownika pozostaje aktywne przez wiele miesięcy bez wskazania celu, osoby odpowiedzialnej i terminu usunięcia.

Brak protokołu zwrotu

Firma nie potrafi wykazać, czy pracownik oddał komputer, token, kartę SIM, klucze i nośniki danych.

Zbyt szybkie kasowanie danych

Konto i urządzenie zostają usunięte przed zabezpieczeniem dokumentów służbowych, logów albo informacji potrzebnych do kontynuowania projektu.

Offboarding a NIS2 i rozliczalność

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia bezpieczeństwo zasobów ludzkich, kontrolę dostępu i zarządzanie aktywami jako elementy zarządzania ryzykiem cyberbezpieczeństwa. Dla organizacji objętych odpowiednimi wymaganiami offboarding jest więc częścią szerszego systemu zarządzania bezpieczeństwem, a nie wyłącznie zadaniem administracyjnym HR.

Firma powinna umieć wykazać:

kto zgłosił odejście pracownika;
kiedy dostęp miał zostać zablokowany;
które systemy zostały sprawdzone;
kto potwierdził wykonanie operacji;
jakie urządzenia i identyfikatory zwrócono;
jakie wyjątki pozostały otwarte;
kiedy konto i przechowywane dane zostaną ostatecznie usunięte;
czy wykryto próby dostępu po zakończeniu współpracy.

Weryfikacja procesu odejścia pracowników może być jednym z elementów przygotowania organizacji do wymagań NIS2. Szczególnej kontroli wymagają konta uprzywilejowane, dostęp zdalny, systemy krytyczne i uprawnienia dostawców zewnętrznych.

Podsumowanie

Offboarding pracownika powinien prowadzić do kontrolowanego zamknięcia dostępu, odzyskania sprzętu, przekazania informacji biznesowych i zabezpieczenia dowodów wykonania czynności. Sama blokada poczty albo odebranie laptopa nie wystarczą.

Najlepszym rozwiązaniem jest jedna procedura uruchamiana przez HR, wykonywana przez wskazanych właścicieli i weryfikowana po zamknięciu. Powinna obejmować pracowników, współpracowników, administratorów, kontraktorów oraz osoby zmieniające stanowisko. Dobrze zaprojektowany offboarding pracownika ogranicza ryzyko wycieku danych, przerw operacyjnych, pozostawienia nieużywanych kont i sporów o zwrot firmowego mienia.

FAQ

Kiedy należy zablokować dostęp odchodzącemu pracownikowi?

Dostęp powinien zostać zablokowany najpóźniej w chwili, w której pracownik przestaje wykonywać obowiązki wymagające korzystania z systemów. Przy standardowym odejściu może to być koniec ostatniego dnia pracy. Jeżeli istnieje podwyższone ryzyko, pracownik ma konto administracyjne albo rozwiązanie umowy następuje natychmiast, blokadę należy zsynchronizować z przekazaniem informacji o zakończeniu współpracy. Dokładny termin powinien być wcześniej ustalony przez HR, przełożonego i IT.

Czy pracodawca może przeglądać pocztę byłego pracownika?

Nie powinien uzyskiwać nieograniczonego dostępu do całej skrzynki wyłącznie dlatego, że zakończono zatrudnienie. Firma może zabezpieczyć korespondencję służbową potrzebną do prowadzenia spraw, jeżeli posiada odpowiednią podstawę, określony cel i ograniczy zakres dostępu. Dokumenty biznesowe najlepiej przekazać jeszcze przed odejściem pracownika. Po ustaniu zatrudnienia można rozważyć automatyczną odpowiedź z nowym adresem kontaktowym. Każdy dostęp do zawartości skrzynki powinien być autoryzowany i udokumentowany.

Czy konto byłego pracownika trzeba od razu usunąć?

Nie zawsze. Natychmiastowe usunięcie może spowodować utratę logów, dokumentów lub ustawień potrzebnych do zachowania ciągłości działania. Najpierw należy zablokować logowanie, unieważnić aktywne sesje i odebrać uprawnienia. Następnie trzeba zabezpieczyć potrzebne dane oraz ustalić termin usunięcia konta. Konto wyłączone nie może jednak pozostawać w systemie bezterminowo bez określonego celu. Czasowe wyłączenie powinno być elementem procedury, a nie zastępować decyzję o dalszym postępowaniu.

Co zrobić, jeżeli pracownik nie zwrócił firmowego laptopa?

Firma powinna natychmiast zablokować dostęp do kont, unieważnić sesje i, jeżeli posiada odpowiednio wdrożone narzędzia, zdalnie zablokować urządzenie lub usunąć profil służbowy. Trzeba ustalić, jakie dane znajdowały się na komputerze, czy dysk był zaszyfrowany i czy istnieje możliwość nieuprawnionego dostępu. HR lub dział prawny powinien równolegle prowadzić sprawę zwrotu mienia. Jeżeli utrata kontroli nad urządzeniem mogła naruszyć poufność danych osobowych, konieczna jest ocena incydentu zgodnie z RODO.

Czy procedura offboardingu powinna obejmować kontraktorów?

Tak. Ryzyko wynika z posiadanego dostępu, a nie z rodzaju umowy. Procedurą powinni zostać objęci pracownicy, współpracownicy B2B, pracownicy tymczasowi, stażyści, dostawcy oraz konsultanci korzystający z systemów lub informacji firmy. W przypadku kontraktorów trzeba sprawdzić również dostęp do środowisk klientów i partnerów. Umowa powinna wskazywać zasady zwrotu sprzętu, usuwania danych i zakończenia dostępu, ale wykonanie tych czynności należy dodatkowo potwierdzić w systemach.

Źródła:

Wdrożenie NIS2 krok po kroku. Od analizy ryzyka do procedur

Offboarding pracownika. Checklista odebrania dostępów i sprzętu