Når et samarbejde med en konsulent eller freelancer ophører, glemmer mange virksomheder at lukke adgangene. Det skyldes, at eksterne ikke står i HR-systemet og derfor ikke udløser den sædvanlige offboarding. Start med at finde ud af, hvilke konti og data den eksterne har haft adgang til, og gem logs, før I lukker noget. Arbejder konsulenten på eget udstyr, har I ikke adgang til det. Så er det jeres egne systemer og kontrakten, I har at gå efter.
Artiklen er til ledere og IT-ansvarlige i virksomheder, der bruger eksterne til udvikling, marketing, bogføring, design eller projektledelse.
Hvorfor eksterne er sværere end ansatte
En ansat får udstyr, en konto og et adgangskort, og når ansættelsen slutter, er der en proces. En ekstern kommer ofte ind ad en anden dør:
- en gæstekonto i Microsoft 365 eller Google Workspace,
- deling af enkelte mapper til en privat mailadresse,
- en konto direkte i et fagsystem, oprettet af en afdelingsleder,
- adgang til en webshop, et CRM eller en annoncekonto,
- brug af en fælleskonto, hvis adgangskode er blevet sendt på mail.
Konsulenten bruger typisk sin egen computer og sin egen telefon. Data, der er hentet ned, ligger derfor på udstyr, som virksomheden ikke ejer. Det betyder ikke, at I ikke kan gøre noget. Men det betyder, at sporene i jeres egne systemer og aftalerne bliver det vigtigste.
Hvad gør I nu?
- Find alle adgange. Spørg den leder, der har haft samarbejdet, og bed IT søge efter gæstekonti, eksterne delinger og konti i fagsystemer med konsulentens navn eller mail. Søg også efter firmaets navn, hvis konsulenten arbejder gennem et selskab.
- Gem logs og delingslister. Eksportér loginhistorik og oversigter over, hvad der er delt eksternt, før I fjerner noget. Delingen viser, hvad konsulenten har kunnet se.
- Luk adgangene. Fjern gæstekonti og delinger, og deaktivér konti i fagsystemer. Slet ikke data, konsulenten har oprettet.
- Skift fælles adgangskoder. Har konsulenten kendt koden til en fælleskonto, skal den skiftes, og tidspunktet noteres.
- Find kontrakten frem. Hvad står der om fortrolighed, tilbagelevering og sletning ved ophør? Hvem ejer det, der er udviklet?
- Bed om tilbagelevering skriftligt. Når advokaten har set på sagen, kan I bede om, at materiale leveres tilbage og slettes, og at det bekræftes skriftligt.
→ En tidligere medarbejder logger stadig ind
Når konsulenten kommer fra et bureau eller et selskab
Mange eksterne arbejder gennem et selskab eller er udlånt fra et bureau. Så er det selskabet, I har kontrakten med, og ikke nødvendigvis den person, der har haft adgangen. Det har to praktiske følger.
For det første kan flere personer hos bureauet have brugt den samme adgang, uden at I vidste det. Spørg bureauet skriftligt, hvem der har arbejdet i jeres systemer, og bed om en liste. Svaret er nyttigt, uanset om der er en tvist eller ej, og det kan sammenholdes med loggen.
For det andet ligger meget af materialet hos bureauet: arbejdsfiler, mails, projektstyring og kopier af jeres data. Bed om en skriftlig bekræftelse af, hvad der er leveret tilbage, og hvad der er slettet, når samarbejdet er afsluttet. Er der uenighed om betaling eller leverance, så vent med kravet om sletning, til advokaten har vurderet, om materialet skal bevares.
Afslut samarbejdet skriftligt
Selv når samarbejdet slutter i god ro og orden, er det en fordel at afslutte skriftligt. En kort mail, der bekræfter slutdatoen, at adgangene er lukket, og at materiale er leveret tilbage, giver jer en dato at regne fra. Viser loggen senere aktivitet efter den dato, er det lettere at forklare, hvad der er sket.
Gem mailen sammen med kontrakten og listen over de adgange, I har lukket.
Hvem gør hvad?
- Leder af samarbejdet · Lister systemer og data, konsulenten har brugt
- IT · Finder konti og delinger, eksporterer logs og lukker
- Økonomi · Finder kontrakt, fakturaer og eventuelle timesedler
- Leder · Beslutter, om der er grundlag for mistanke
Fakturaer og timesedler er ofte overset, fordi de ligger i økonomifunktionen og ikke hos IT. De kan vise, hvornår konsulenten har arbejdet på hvad, og kan sammenholdes med loggen.
Det må I ikke gøre
- Lade gæstekontoen leve videre “for en sikkerheds skyld”. En glemt adgang er den mest almindelige fejl, og den gør det svært at vise, at senere aktivitet ikke kom fra konsulenten.
- Slette det, konsulenten har lavet. Filer, opgaver og ændringer er dokumentation for samarbejdet, også hvis der opstår en tvist om leverancen eller betalingen.
- Kræve at se konsulentens computer. I har som udgangspunkt ingen ret til det. Står der noget i kontrakten om kontrol eller revision, skal advokaten vurdere, hvordan det kan bruges.
- Bede om sletning, før der er sikret. Er der mistanke om, at data er brugt forkert, kan en sletning fjerne netop det, der viser det.
Når der er mistanke
Mistanken opstår typisk, fordi konsulenten nu arbejder for en konkurrent, fordi materiale fra samarbejdet dukker op andre steder, eller fordi loggen viser, at der er hentet meget kort før ophøret.
Her er rækkefølgen vigtig. Sikr logs og delingslister i jeres egne systemer, og skriv ned, hvad der har givet mistanken. Konfrontér ikke konsulenten, før I har talt med en advokat. En fortrolighedsaftale kan være et godt grundlag, men kun hvis I kan dokumentere, hvad der er delt, og hvornår.
→ Brud på fortrolighedsaftale: dokumentation
Er der tale om data i tjenester, som IT ikke kender til, for eksempel en Trello-tavle eller en delt mappe i en privat Dropbox, så skriv det ned også. Det er ofte her, de vigtigste spor ligger.
→ Skygge-IT: når data ligger i tjenester, IT ikke kender
Hvornår skal I have hjælp udefra?
Kontakt en IT-sagkyndig, hvis der er tale om forretningshemmeligheder, kundedata eller kode, hvis loggen viser usædvanlig aktivitet, eller hvis kontoen, som data ligger på, står i konsulentens navn. Er data ved at forsvinde, fordi en log udløber eller en tjeneste lukkes, så sig det tydeligt. Hastesager koster ekstra. → Pris og tilbud
Forebyg det næste gang
- ☐ Opret eksterne i en fast proces med en ansvarlig leder og en slutdato.
- ☐ Brug gæstekonti med udløbsdato i stedet for delinger til private mails.
- ☐ Giv aldrig adgangskoder til fælleskonti. Opret personlige konti.
- ☐ Skriv fortrolighed, tilbagelevering og sletning ind i kontrakten.
- ☐ Gennemgå gæstekonti hvert kvartal.
- ☐ Sørg for, at konti, data ligger på, står i virksomhedens navn. → Cloudkontoen står i en medarbejders navn
Det sidste punkt er vigtigt. Er en tjeneste oprettet og betalt af konsulenten, kan I stå uden adgang til jeres egne data, den dag samarbejdet slutter.
Læs også: Udvikleren stopper: GitHub, tokens og private kopier · Vikarer, praktikanter og sæsonansatte: korte forløb, fulde adgange
→ Medarbejderen har taget data: hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
