Fél évvel azután, hogy az értékesítő elköszönt, valaki az ő nevével lép be a cég ügyfélkezelő rendszerébe. Nem törte fel senki. A jelszót egyszerűen sosem cserélték le, és a fiók azóta is működik.

Ha egy kilépő munkatárs távozik, mindenki a munkaszerződésre, a szabadságmegváltásra és az átadás-átvételre figyel. Az informatikai oldal – fiókok, jogosultságok, eszközök – gyakran a végére marad, vagy ki is marad. Pedig minden nyitva felejtett hozzáférés olyan, mint egy kulcs, amelyet nem kértünk vissza: lehet, hogy soha senki nem használja, de a zárat ettől még nem cseréltük ki.

Mennyire gyakori ez?

Egy 2025 júliusában készült amerikai felmérésben 1 200 munkavállalót kérdeztek meg, és 40 százalékuk bevallotta: egy korábbi munkahelye belépési adatait a kilépése után is használta. A többség nem ártó szándékkal tette, egyszerűen ingyen használta tovább a fizetős szolgáltatásokat. A módszer viszont mindent elárul. A visszajárók 60 százalékánál a jelszót sosem változtatták meg, 28 százalékuk egy bent maradt kollégától kapta meg, minden ötödik pedig egyszerűen kitalálta. Minden tizedik válaszadó több mint négy éve jár így vissza. (A felmérés összefoglalója)

A számok amerikaiak, a minta itthon is ismerős. Egy kkv-nál nincs külön informatikai osztály, amely a kilépés napján végigmegy a listán. Sokszor maga a lista sincs meg.

Miért marad nyitva ennyi ajtó?

Mert a fiókok szét vannak szórva. A céges e-mail csak a kezdet. Ott van a könyvelőprogram, a banki felület, a webshop adminja, a cég Facebook-oldala, a beszállítói portálok, a futárszolgálat fiókja, a közös tárhely. Egy tíz-húsz fős cégnél egy munkatárs könnyen eljut harminc-negyven különböző hozzáférésig, és ezek egy részét maga hozta létre, a saját e-mail-címével.

A legnagyobb rés a közös jelszó. A Wi-Fi jelszava, a router adminja, a közös „iroda@” postafiók, a nyomtató webes felülete: ezeket mindenki ismeri, és kilépéskor szinte soha senki nem cseréli le. Aki ismeri a Wi-Fi jelszavát, az a parkolóból is fel tud csatlakozni a céges hálózatra.

Külön csapda a kétfaktoros belépés. Ha egy fontos céges fiók második lépcsője a kilépő saját telefonjára érkezik, akkor a távozásával nemcsak egy kulcs marad nála: a cég ki is zárhatja magát a saját fiókjából. Erről a jelszavakról és a kétfaktoros belépésről szóló cikkünkben részletesen írtunk.

Az e-mail-fiók: se törlés, se nyitva hagyás

A kilépő postafiókját nem érdemes azonnal törölni, mert benne van az ügyfelekkel folytatott levelezés, és a cégnek szüksége lehet rá. Nyitva hagyni viszont semmiképp nem szabad. A bevett megoldás: a belépést a kilépés pillanatában letiltjuk, a jelszót lecseréljük, és egy átmeneti időre automatikus válasz jelzi a partnereknek, kit keressenek helyette.

Itt adatvédelmi kérdés is felmerül, hiszen a postafiókban magánlevelek is lehetnek. Hogy ki és milyen szabályok szerint nézhet bele, azt érdemes előre, belső szabályzatban rögzíteni, nem a kilépés napján kitalálni. A Microsoft 365-ben egy le nem zárt fiók ráadásul fizetett licencet is foglal, ahogy a licencekről szóló cikkünkben is írtuk.

Eszközök: a notebook nem csak egy gép

A visszavett notebook, telefon és pendrive céges adatot hordoz. Átvételkor nem elég bezárni egy szekrénybe: előbb mentsük le róla, ami a cégnek kell, aztán töröljük és telepítsük újra, mielőtt más kapja meg. A céges telefonnál ugyanez a helyzet, és a kilépő saját telefonjára is figyelni kell: a rajta maradt levelezőprogram vagy felhőalkalmazás addig szinkronizál, amíg a fiókot nem tiltják le.

A fizikai kulcsok, a beléptetőkártya és a riasztó kódja ugyanide tartozik. Ezen a ponton az informatika és az épület biztonsága ugyanaz a kérdés.

Kilépő munkatárs: mikor mit kell lezárni?

A sorrend fontosabb, mint gondolnánk. Ha a távozás nem barátságos, a hozzáféréseket a beszélgetéssel egy időben kell letiltani, nem utána. Egy indulatos volt kollégának egy délután is elég egy közös mappa kiürítéséhez.

A kilépés napján: letiltott belépés a céges fiókokba, lecserélt közös jelszavak, visszavett eszközök, és a kétfaktoros belépés áttéve egy bent maradó kollégára vagy egy céges telefonra. Egy héten belül: a nem központi fiókok – portálok, közösségi oldalak, beszállítói felületek – átnézése, a tulajdonosi és adminisztrátori szerepek átadása. Egy hónapon belül: döntés a postafiók és a fájlok sorsáról, a felszabadult licencek lemondása.

Mindez sokkal könnyebb, ha van egy előre elkészített lista arról, ki mihez fér hozzá. Ez a lista a belépéskor kezdődik, nem a kilépéskor.

Tévhitek

„Megbízható ember volt, nincs miért aggódni.” A kérdés nem a bizalom. A nyitva hagyott fiók akkor is veszélyes, ha a volt kolléga soha többé nem lép be: ha az ő jelszava egy másik oldalon kiszivárog, a támadó az ő nevével jut be a cégbe. Hogy ez milyen gyorsan megy, arról a kiszivárgott jelszavakról szóló cikkünk szól.

„Kitöröljük a fiókját, és kész.” A törlés gyors, de visszafordíthatatlan. Elvész vele a levelezés, a megosztott fájlok egy része, és néha olyan szolgáltatások hozzáférése is, amelyeket az ő nevére regisztráltak.

Összegzés

Egy kilépés informatikai része egy jól összeállított listával egy-két óra munka. Lista nélkül hónapokig nyitva maradó ajtó, amelyről senki nem tud. A legjobb idő a lista elkészítésére most van, amikor még senki nem készül távozni.

Ha szeretné tudni, mi a saját kockázata, kérjen IT auditot: abakusz.hu/itaudit