כשעובד עוזב: ההרשאות שנשארות מאחור ומה עושים איתן
עובד שסיים את עבודתו מחזיר את המחשב הנייד ואת כרטיס הכניסה, ונראה שבזה הסתיים התהליך. בפועל, הגישה שלו למערכות הארגון מפוזרת במקומות רבים שאינם עוברים דרך דלפק הקבלה: תיבת הדואר, מערכות הענן, קבוצות העבודה המשותפות ולעיתים גם חשבונות אצל ספקים חיצוניים. חלק מהם נשארים פתוחים שבועות ואף חודשים אחרי היום האחרון.
ברוב המקרים אין כאן כוונה רעה, לא מצד העובד ולא מצד הארגון. ההרשאות פשוט לא נסגרות, מפני שבארגונים רבים אין רשימה מלאה שלהן. אלא שחשבון פעיל של מי שכבר אינו עובד בארגון הוא נקודת כניסה שאיש אינו משגיח עליה, והיא נשארת כזו עד שמישהו נתקל בה במקרה.
למה הרשאות נשארות פתוחות
אחת הסיבות המרכזיות היא פיזור. מערכות רבות מנוהלות בידי המחלקה שמשתמשת בהן ולא בידי מחלקת המחשוב, וכל אחת מהן נפתחה בזמן אחר ובדרך אחרת. כשעובד עוזב, ההודעה מגיעה למשאבי אנוש ולמחשוב, אך לא תמיד למנהלת השיווק שפתחה לו גישה לכלי הפרסום או לאחראי הכספים שהוסיף אותו למערכת התשלומים.
גם מעבר לענן שינה את התמונה. בעבר רוב הגישה עברה דרך הרשת הפנימית, וניתוק מהרשת סגר חלק ניכר ממנה. היום עובד יכול להתחבר לשירותי הארגון מכל מחשב ומכל מקום, ולכן כיבוי המחשב הארגוני אינו מנתק אותו מהחשבונות שלו בענן. החשבון עצמו הוא נקודת הכניסה, והוא נשאר פתוח עד שמישהו סוגר אותו במפורש.
לחץ הזמן סביב עזיבה מוסיף גורם נוסף. חפיפה עם מחליף, העברת לקוחות ותיק פרויקטים פתוח דוחקים את הצד הטכני לסוף הרשימה. לעיתים משאירים חשבון פתוח בכוונה, כדי שהמחליף יוכל לגשת למיילים ישנים, ואיש אינו חוזר לסגור אותו כשהצורך חולף.
ארגונים שאין להם צוות ייעודי לנושא נוטים לגלות את הפערים האלה רק בדיעבד. שירותי אבטחת מידע חיצוניים יכולים למפות את ההרשאות הקיימות, לזהות חשבונות שאין מאחוריהם עובד פעיל ולבנות תהליך סגירה שמתאים למערכות שבשימוש בפועל. המיפוי הראשוני חושף לרוב יותר חשבונות פתוחים ממה שהארגון ציפה למצוא, ומשם אפשר לבנות שגרה שתמנע את הצטברותם מחדש.
איפה ההרשאות מסתתרות
המערכות הגלויות נסגרות בדרך כלל ראשונות: תיבת הדואר, חשבון המשתמש בדומיין והגישה לתיקיות המשותפות. הקושי מתחיל במערכות שנפתחו מחוץ לתהליך הרגיל, כמו כלי ניהול פרויקטים שמחלקה אחת רכשה בעצמה או חשבון אצל ספק שדרכו הוזמנו שירותים. אלה אינם מופיעים ברשימה של מחלקת המחשוב, ולכן גם אינם נסגרים דרכה.
גם הרשאות עקיפות נשכחות. עובד שהיה מנהל של קבוצת עבודה, של ערוץ תקשורת או של מסמך משותף יכול להמשיך לשלוט בו אחרי שעזב, ולעיתים הוא היחיד שמסוגל לשנות את ההגדרות שלו. במצב כזה הארגון תלוי בחשבון שאין לו אחראי.
מכשירים אישיים מוסיפים שכבה. טלפון שעליו הותקנה אפליקציית הדואר או כלי התקשורת של הארגון ממשיך לקבל מידע עד שהחיבור מבוטל מצד המערכת. החזרת המחשב הנייד אינה נוגעת בהם כלל, ולכן ניתוק המכשירים מתבצע מתוך מערכת הניהול ולא מול העובד. במערכות רבות אפשר גם למחוק מרחוק רק את המידע הארגוני שעל המכשיר, בלי לגעת בתוכן האישי.
כמה מקומות נוספים שבדרך כלל אינם נבדקים:
כללי העברה אוטומטית: הגדרה בתיבת הדואר שממשיכה להעביר הודעות לכתובת פרטית.
מפתחות וחיבורים אוטומטיים: קישורים בין מערכות שנוצרו בשם העובד וממשיכים לפעול בלעדיו.
מנויים על כרטיס אישי: שירותים שנרכשו בכרטיס האשראי של העובד ואינם מופיעים בהנהלת החשבונות.
גישת מנהל זמנית: הרחבה חד פעמית לצורך התקנה, שבסיומה לא בוטלה.
שינוי תפקיד הוא עזיבה קטנה
הרשאות מצטברות גם אצל עובדים שנשארים בארגון. עובד שעבר מהכספים לתפעול מקבל את הגישות של התפקיד החדש, אבל לרוב שומר גם את הגישות של התפקיד הקודם. אחרי כמה מעברים כאלה נוצר חשבון שיכול לגעת בהרבה יותר מערכות ממה שהתפקיד הנוכחי מצריך.
ההצטברות הזו אינה נראית מבחוץ. אין תקלה, אין התראה ואיש אינו מתלונן, מפני שהעובד ממשיך לעבוד כרגיל. לרוב היא מתגלה רק כשמשהו משתבש, למשל כשחשבון כזה נפרץ ומתברר שדרכו אפשר היה להגיע למערכות שאין להן קשר לעבודתו.
לכן שינוי תפקיד מצדיק את אותה בדיקה שנעשית בעזיבה, רק בהיקף קטן יותר. הגישות של התפקיד הישן נסגרות, ורק מה שנדרש לתפקיד החדש נשאר פתוח. זה נשמע מובן מאליו, אך זה השלב שבו ארגונים רבים מדלגים על הבדיקה, מפני שאיש אינו רואה בשינוי תפקיד אירוע שמחייב טיפול.
תהליך עזיבה שסוגר את הפערים
נקודת המוצא היא רשימה אחת שמחזיקה את הגישות של כל עובד, מהיום הראשון שלו בארגון. היא אינה חייבת להיות מערכת מתוחכמת, אלא מקום אחד שבו נרשמת כל גישה שנפתחת, מי אישר אותה ולמה. בלי רשימה כזו, תהליך הסגירה נשען על הזיכרון של מי שמנהל אותו, ולכן סביר שיחמיץ משהו.
התזמון חשוב לא פחות מהרשימה. גישה שנסגרת ביום העזיבה עצמו, ולא בשבוע שאחריו, מצמצמת את החלון שבו החשבון פתוח בלי אדם פעיל מאחוריו. במקרים של עזיבה לא מתוכננת או בנסיבות רגישות, נהוג לבצע את הסגירה עוד לפני שהעובד מקבל את ההודעה. תיאום מראש בין משאבי אנוש למחשוב על מועד השיחה מאפשר זאת בלי לחשוף את ההחלטה מוקדם מדי.
גם העברת הבעלות צריכה להיות חלק מהתהליך. מסמכים, קבוצות ותיבות שהעובד ניהל מועברים לאדם אחר לפני שהחשבון נסגר, כדי שהארגון לא יאבד גישה למידע שלו. סדר הפעולות הזה מונע את הפיתוי להשאיר חשבון פתוח רק כדי לא לאבד משהו.
כמה שלבים שנשכחים גם בתהליך מסודר:
השבתה לפני מחיקה: משתמש מנוטרל לתקופת מעבר, והתוכן שלו נשאר זמין לארכוב.
החלפת סיסמאות שהכיר: גם סיסמאות משותפות של ציוד משרדי, רשת אלחוטית ומערכות צוות.
הסרת מכשיר האימות: הטלפון שלו נמחק מרשימת המכשירים המורשים לאימות דו שלבי.
עדכון אנשי קשר חיצוניים: ספקים ולקוחות מקבלים שם של איש קשר חדש במקומו.
ספקים, פרילנסרים וחשבונות משותפים
לא כל מי שמקבל גישה הוא עובד. יועצים, פרילנסרים וספקי תמיכה מקבלים חשבונות לצורך פרויקט מסוים, ולרוב לא מסומן מתי הפרויקט הסתיים. ההתקשרות נגמרת, החשבון נשאר, ולעיתים הוא נשכח לגמרי מפני שמעולם לא נרשם אצל משאבי אנוש. מאחר שאין עזיבה רשמית, גם אין רגע שבו מישהו נזכר לבדוק אותו.
חשבונות משותפים הם מקרה מורכב במיוחד. כאשר כמה אנשים משתמשים באותו שם משתמש ובאותה סיסמה, עזיבה של אחד מהם מחייבת להחליף את הסיסמה לכולם, ולכן לא תמיד עושים זאת. במצב כזה גם אי אפשר לדעת בדיעבד מי ביצע פעולה מסוימת. מעבר לחשבונות אישיים, עם הרשאות משותפות למי שבאמת צריך אותן, מטפל בשתי הבעיות יחד.
הפתרון המעשי הוא לקבוע תאריך סיום לכל גישה חיצונית כבר ברגע שהיא נפתחת. כך החשבון נסגר מעצמו אם לא הוארך במפורש, ולא נשאר פתוח רק מפני ששכחו לסגור אותו.
בדיקה תקופתית של ההרשאות
גם תהליך עזיבה טוב אינו תופס הכול, ולכן נדרשת בדיקה חוזרת מדי תקופה. מנהל כל צוות מקבל רשימה של הגישות שבידי אנשיו ומאשר מה עדיין נדרש. מה שאיש אינו מאשר נסגר, ובדיקה כזו חושפת בדרך כלל חשבונות שאף אחד לא ידע שהם קיימים.
הבדיקה מחייבת את מי שמכיר את העבודה ולא רק את מי שמכיר את המערכות. מחלקת המחשוב יודעת אילו חשבונות קיימים, אך רק המנהל הישיר יודע אם אחד מאנשיו עדיין זקוק לגישה מסוימת. חלוקת האחריות הזו היא מה שהופך את הבדיקה לאמינה, ובלעדיה היא נוטה להפוך לאישור גורף של כל מה שכבר קיים.
חשוב שהבדיקה תהיה שגרה ולא אירוע. בדיקה שנעשית רק אחרי תקרית מגלה את הבעיה מאוחר מדי, בעוד שבדיקה קבועה מצמצמת את מספר החשבונות הפתוחים לפני שמישהו מנצל אותם. עם הזמן היא גם מתקצרת, מפני שפחות חשבונות מצטברים בין בדיקה לבדיקה.
לסיכום
הרשאות שנשארות פתוחות אחרי עזיבה אינן בעיה טכנית מסובכת, אלא בעיה של סדר ואחריות. הן מצטברות מפני שהמערכות מפוזרות, מפני שאין רשימה אחת שמרכזת אותן ומפני ששינויי תפקיד ופרויקטים חיצוניים אינם מלווים בסגירה. רשימת גישות מעודכנת, סגירה ביום העזיבה, העברת בעלות מראש ובדיקה תקופתית בידי המנהלים הישירים סוגרות את רוב הפערים. ארגון שמטפל בזה כשגרה, ולא כפרויקט חד פעמי, חוסך לעצמו את הגילוי המאוחר, זה שמגיע בדרך כלל רק אחרי שמישהו כבר נכנס.