Khi một người rời đi, tài khoản và công việc của họ sẽ ra sao?

Khi một người rời đi, hãy thống nhất ai thu hồi quyền truy cập và ai tiếp nhận phần việc còn dang dở. Mỗi việc cần được xác nhận riêng. Việc xóa tài khoản không cho biết liệu ngày mai yêu cầu của khách hàng có đến đúng người hay đồng nghiệp có thể cập nhật báo cáo dùng chung hay không.

Bắt đầu từ công việc cần được tiếp tục

Hãy hình dung một đồng nghiệp phụ trách trả lời yêu cầu của khách hàng và lập báo cáo hằng tuần. Trước ngày nghỉ việc dự kiến, người quản lý xác định các yêu cầu còn mở, hạn của báo cáo tiếp theo và người sẽ tiếp nhận. Người đó cần nhận phần việc liên quan bằng tài khoản được tổ chức cấp quyền cho mình.

Người quản lý quyết định công việc nào cần có người phụ trách mới. Bộ phận Nhân sự xác nhận thời điểm được phép và các giới hạn liên quan. Người phụ trách từng hệ thống quyết định thay đổi quyền truy cập và cách lưu giữ hoặc chuyển giao tài liệu cần thiết. Ở công ty nhỏ, một người có thể đảm nhiệm nhiều vai trò. Dù vậy, hãy ghi rõ các quyết định.

Nếu có trường hợp nghỉ việc khẩn cấp vì lý do bảo mật, hãy làm theo quy trình ứng phó được tổ chức cho phép. Đừng trì hoãn việc ngăn chặn rủi ro để hoàn tất bàn giao cho gọn gàng.

Thu hồi quyền truy cập và giữ lại công việc là hai việc khác nhau

Chặn đăng nhập, xóa tài khoản, lưu giữ hồ sơ và cấp quyền cho người khác có tác động khác nhau. Hãy chọn biện pháp theo kết quả cần đạt, với thứ tự phù hợp với dịch vụ và tình huống.

Ví dụ, hướng dẫn của Microsoft dành cho nhân viên đã nghỉ việc tách riêng việc ngăn đăng nhập, lưu giữ nội dung hộp thư, duy trì email, cấp quyền cho người tiếp nhận, giấy phép và xóa tài khoản. Đây là hướng dẫn cho Microsoft 365. Ví dụ này cho thấy chỉ yêu cầu “xóa người dùng” sẽ bỏ ngỏ nhiều quyết định quan trọng.

Với các yêu cầu khách hàng trong ví dụ, hãy thống nhất người tiếp nhận cần xem những cuộc trao đổi nào và yêu cầu mới sẽ được chuyển đến họ ra sao. Với báo cáo, hãy xác định báo cáo được lưu ở đâu, ai phụ trách và liệu việc cập nhật có còn phụ thuộc vào tài khoản của người sắp rời đi không. Đừng mặc định sao chép toàn bộ hộp thư. Nếu quyết định liên quan đến quyền riêng tư, lưu giữ dữ liệu, điều tra hoặc nghĩa vụ lao động, người có trách nhiệm cần xin tư vấn phù hợp với tình huống thực tế.

Kiểm tra các dịch vụ dùng chung hệ thống đăng nhập

Đăng nhập tập trung có thể giúp quản lý quyền truy cập, nhưng hãy kiểm tra việc vô hiệu hóa nó thực sự thay đổi điều gì ở từng dịch vụ liên quan. Một số ứng dụng có thể dùng tài khoản được quản lý riêng. Nếu dịch vụ có phiên đăng nhập đang hoạt động, mã truy cập hoặc quy trình tự động, hãy hỏi người phụ trách hệ thống. Biện pháp phù hợp tùy thuộc vào từng dịch vụ.

Hướng dẫn của NCSC về sử dụng SaaS an toàn đề cập vòng đời người dùng nội bộ và bên ngoài, nguồn danh tính được quản lý và tự động hóa khi có thể. Hướng dẫn cũng ghi nhận các ứng dụng dùng xác thực trực tiếp. Hãy xem đây là lý do để kiểm tra những ứng dụng liên quan, thay vì cho rằng đổi một thiết lập đăng nhập là đủ.

Lập biên bản ngắn để có thể kiểm tra

Với mỗi dịch vụ liên quan, hãy ghi lại người phụ trách, thay đổi quyền truy cập, nơi chuyển giao công việc cần thiết, thời điểm đã thống nhất và bằng chứng hoàn tất. Ghi rõ quyết định còn bỏ ngỏ và người sẽ giải quyết. Không lưu mật khẩu hay thông tin xác thực khác trong biên bản này.

Sổ tay nghỉ việc công khai của GitLab cho thấy một tổ chức khác phân công riêng việc điều phối của bộ phận Vận hành Nhân sự, trao đổi bàn giao với quản lý và trách nhiệm truy cập hệ thống. Hồ sơ hoàn tất phân biệt giữa quyền đã bị thu hồi và việc xác nhận một người chưa từng có quyền đó. Công cụ và thời hạn là quy định của GitLab; điều hữu ích ở đây là xác định ai xác nhận từng mục.

Hãy yêu cầu người quản trị từng hệ thống cung cấp bằng chứng về thay đổi đã thống nhất. Sau đó, người tiếp nhận được cấp quyền cần thực hiện tác vụ thông thường: tìm yêu cầu được giao hoặc mở và cập nhật báo cáo bằng tài khoản của chính mình. Không kiểm tra bằng cách đăng nhập dưới tên người sắp rời đi hoặc chia sẻ mật khẩu của họ.

Thông báo cập nhật từ Nhân sự hoặc một quy trình tự động hoàn tất là thông tin hữu ích, nhưng tự chúng không xác nhận trạng thái của mọi ứng dụng. Hãy để các mục chưa giải quyết ở trạng thái hiển thị cho đến khi người phụ trách xác nhận.

Nếu hệ thống hiện tại khiến việc xác định quyền sở hữu hoặc quyền truy cập trở nên khó khăn, chúng tôi có thể trao đổi về hệ thống đó và phần việc cần được tiếp nhận. Các dịch vụ của chúng tôi bao gồm phần mềm, hạ tầng và email, với phạm vi được thống nhất theo tình huống của bạn.

Câu hỏi về tài khoản và bàn giao