Onboarding și offboarding IT: checklist de acces

Un angajat nou semnează contractul luni, dar primește parola de la email abia miercuri, pentru că nimeni nu s-a gândit la cont până nu a ajuns fizic la birou. Un angajat care plecă joi mai are, trei săptămâni mai târziu, acces activ la contul de Dropbox al firmei, pentru că cineva a dezactivat emailul și a presupus că restul „se rezolvă de la sine”. Niciuna dintre cele două situații nu este, de fapt, despre tehnologie — amândouă sunt despre faptul că nimeni nu a scris, dinainte, ce conturi și ce acces vine cu fiecare rol din firmă, și cine se ocupă de ele exact în ziua în care cineva intră sau pleacă.

De ce procesul ăsta scapă printre degete la firmele mici

La o corporație, onboarding-ul și offboarding-ul au un departament dedicat și o listă de verificare impusă de politici interne. La o firmă cu zece, douăzeci sau cincizeci de angajați, nu există, de regulă, nimeni cu acest rol explicit — se angajează și se despart oameni suficient de rar încât nimeni nu simte nevoia să scrie o procedură, și fiecare caz se improvizează din nou, de la zero, de către oricine își amintește ce a făcut ultima dată. Rezultatul e previzibil: de fiecare dată se omite altceva, pentru că nimic din ce s-a învățat la ultima plecare nu a fost scris undeva pentru următoarea.

Onboarding: ce pregătești înainte de prima zi

Un cont de email care funcționează, accesul la sistemele de care are nevoie rolul respectiv și un calculator pregătit ar trebui să existe înainte ca persoana să ajungă fizic la birou, nu create în prima oră, cu angajatul așteptând lângă birou. Asta cere un singur lucru simplu: cineva să știe, cu o zi sau două înainte, ce rol începe și ce acces minim cere acel rol — nu o listă generică „acces la tot”, ci una specifică postului: un contabil are nevoie de altceva decât un agent de vânzări, și niciunul din ei nu are nevoie de acces la sistemele financiare ale firmei doar pentru că „e mai simplu să dai acces la toate deodată”.

Principiul minimului privilegiu, nu „la fel ca persoana de pe scaunul ăsta înainte”

Cea mai comună scurtătură la firmele mici este clonarea accesului: noul angajat primește exact ce avea predecesorul, fără să se mai verifice dacă acel acces era, de fapt, corect de la bun început. Problema e că accesul acumulat de-a lungul anilor de un singur angajat — pentru un proiect temporar, pentru o înlocuire de concediu, pentru o excepție aprobată o singură dată — se transmite astfel la nesfârșit, de la un om la altul, fără ca nimeni să mai verifice dacă are vreun sens. Definirea accesului pe baza rolului, nu pe baza contului altcuiva, este diferența dintre o firmă care știe, în orice moment, cine are acces la ce și una care doar presupune.

Parolele temporare și autentificarea în doi factori, de la prima zi

O parolă temporară dată la crearea contului trebuie schimbată la prima autentificare, nu lăsată așa săptămâni la rând pentru că „funcționează, deci e în regulă”. Autentificarea în doi factori pentru email și pentru orice sistem cu date sensibile ar trebui activată chiar din prima zi, nu adăugată „mai târziu, când e timp” — acel „mai târziu” devine, în practică, fereastra exactă în care un cont nou, cu o parolă previzibilă și fără al doilea factor, este cel mai expus.

Offboarding: ce se întâmplă în ziua în care un angajat plecă

Partea critică nu este dacă accesul se dezactivează, ci cât de repede. Dezactivarea ar trebui să se întâmple în ziua plecării, nu „în cursul săptămânii, când are cineva timp” — acel interval de câteva zile, oricât ar părea de nevinovat, este exact fereastra în care un cont rămas activ poate fi folosit, intenționat sau din greșeală, fără ca nimeni din firmă să observe. Checklist-ul ar trebui să fie identic indiferent de circumstanțe: o plecare amiabilă, cu două săptămâni de preaviz discutate calm, nu e un motiv să tratezi procesul mai relaxat decât o plecare tensionată — tocmai pentru că decizia de a aplica aceleași pași de fiecare dată elimină nevoia de a improviza o versiune „mai strictă” exact atunci când emoțiile sunt ridicate și e mai puțin probabil ca cineva să se gândească limpede la toate conturile implicate.

Conturile comune sunt cele mai des uitate

Dezactivarea contului de email e, de regulă, primul lucru la care se gândește cineva — și, din acest motiv, se și întâmplă aproape mereu. Ce se omite frecvent sunt conturile care nu sunt legate de o singură persoană: panoul de administrare al hostingului și al domeniului site-ului, conturile de rețele sociale ale firmei, conturile de publicitate (Google Ads, Meta Ads), accesul la un cont bancar online cu drept de vizualizare, sau o parolă partajată la un serviciu folosit de toată echipa. Niciunul dintre acestea nu apare pe o listă „conturile angajatului X”, pentru că din punct de vedere tehnic nu sunt ale lui — sunt ale firmei, dar el le cunoștea. Fără o listă scrisă a tuturor acestor conturi partajate și a cui le cunoaște parola, offboarding-ul se oprește, de fapt, la email și lasă deschis tot restul.

Dezactivează, nu șterge imediat

Impulsul firesc este să ștergi contul unui angajat care a plecat, ca să „închei” complet situația. Problema e că ștergerea imediată poate elimina corespondență, fișiere sau istoric de care firma are nevoie mai târziu — o discuție cu un client, un contract trimis prin email, un document la care doar acea persoană avea acces. Dezactivarea contului, fără să-l ștergi, păstrează toate aceste date accesibile pentru firmă, dar blochează complet accesul persoanei care a plecat. Ce se face apoi cu conținutul — redirecționare temporară a emailurilor către un coleg, arhivare, sau ștergere după o perioadă stabilită — este o decizie separată, luată deliberat, nu un efect automat al grabei de a „rezolva” offboarding-ul într-un singur pas.

Un singur document, nu memorie distribuită

Cea mai practică soluție, pentru o firmă mică, nu e un sistem complicat, ci un document simplu: o listă cu fiecare sistem folosit de firmă, cine are acces la el și la ce nivel. Acest document se actualizează de fiecare dată când cineva vine, își schimbă rolul în firmă — nu doar când plecă — sau pleacă, astfel încât întrebarea „cine are, de fapt, acces la ce” să aibă un răspuns scris, nu unul care depinde de memoria persoanei care „se ocupă de obicei de IT”. Fără acest document, fiecare offboarding redescoperă de la zero ce conturi există, de regulă în grabă, exact când e cel mai puțin timp pentru o verificare atentă.

Greșeli frecvente

• Oprirea doar la contul de email, lăsând active conturile partajate de hosting, rețele sociale, publicitate sau alte servicii pe care persoana le cunoștea.
• Ștergerea imediată a contului, în loc de dezactivare, cu riscul de a pierde date sau corespondență de care firma are încă nevoie.
• Clonarea accesului unui alt angajat la onboarding, fără să se verifice dacă acel acces era, de fapt, corect pentru rol.
• Tratarea diferită a plecărilor, cu un checklist „relaxat” pentru despărțirile amiabile și unul improvizat, în grabă, pentru cele tensionate.
• Nimeni responsabil clar de acest proces, astfel încât onboarding-ul și offboarding-ul devin, de fiecare dată, treaba cui își amintește primul.

De unde începi, practic

Primul pas nu cere niciun instrument nou: o listă, făcută o singură dată, cu toate sistemele folosite de firmă — email, stocare în cloud, CRM sau ERP, hosting și domeniu, rețele sociale, conturi de publicitate, programe de contabilitate — și cine are acces la fiecare. Din această listă rezultă, firesc, un șablon minim de acces pentru fiecare rol din firmă, folosit la fiecare angajare viitoare, și un checklist de dezactivare, folosit la fiecare plecare. Pentru firmele fără un angajat IT dedicat care să ruleze acest checklist de fiecare dată, pasul ăsta se verifică natural împreună cu furnizorul de suport IT externalizat, ca parte a administrării curente a conturilor și echipamentelor. Pe măsură ce firma crește și numărul de sisteme separate devine greu de urmărit manual, centralizarea autentificării printr-un singur sistem de identitate reduce drastic câte conturi trebuie verificate individual la fiecare offboarding — exact zona acoperită de serviciile noastre de securitate cibernetică.

Solicită o discuție gratuită despre politica de acces a firmei tale și verifică, concret, cât de rapid ar putea fi dezactivat complet accesul unei persoane care ar pleca mâine.