Når der er mistanke mod en medarbejder, er den første indskydelse ofte at lukke alle adgange nu. Nogle gange er det rigtigt. Andre gange koster det mere, end det redder, fordi medarbejderen bliver advaret, og fordi en forhastet lukning kan slette data. Svaret afhænger af to ting: hvor stor skaden kan blive i de næste timer, og om data er bevaret, før I lukker.
Det vigtigste at forstå er, at spærring og sletning er to forskellige ting. En konto kan spærres, uden at noget forsvinder. Det er sletningen, der koster beviser.
Spærre, deaktivere, slette: hvad sker der?
- Skifte adgangskode · Data bevares, men aktive sessioner kan fortsætte
- Spærre login og afslutte sessioner · Data bevares, brugeren kan ikke komme ind
- Fjerne licensen · Data kan blive slettet efter en frist, afhængigt af system
- Slette kontoen · Postkasse og drev slettes efter en frist og kan ikke altid hentes
Fristerne afhænger af systemet og jeres licens. Bed IT slå den aktuelle frist op for jeres opsætning, og regn ikke med, at den er lang. → Hvor længe gemmes data i Microsoft 365, Google og på telefoner?
Et særligt punkt er adgangskoden. Mange tror, at en ny kode lukker døren. Men en telefon eller en app, der allerede er logget ind, kan fortsætte med at hente mail i et stykke tid. Derfor skal IT både spærre login og afslutte alle sessioner. → Sessioner og tokens
Hvornår skal I lukke med det samme?
Luk med det samme, hvis der er en konkret risiko for, at der sker skade i de næste timer, for eksempel:
- medarbejderen kan godkende betalinger, oprette leverandører eller ændre kontonumre,
- medarbejderen er administrator og kan slette konti, logs eller backup,
- der er tegn på, at data er ved at blive sendt ud lige nu,
- medarbejderen har adgang til kunders eller borgeres følsomme data, og der er mistanke om misbrug,
- medarbejderen er allerede advaret, fordi mistanken er kommet frem.
I de situationer er tabet ved at vente større end tabet ved at advare. Bed stadig IT om at bevare data først, men gør det i samme ombæring. Bevarelse tager typisk få minutter at sætte i gang.
Hvornår kan det være klogere at vente?
Det kan være klogere at vente lidt, hvis:
- data endnu ikke er bevaret, og en lukning kan sætte automatisk sletning i gang,
- I ikke har overblik over, hvilke konti og enheder medarbejderen har,
- en IT-sagkyndig skal sikre computer eller telefon, og lukningen kan ændre det, der skal sikres,
- I planlægger en fritstilling i morgen, og en lukning i dag vil afsløre planen.
At vente betyder ikke at gøre ingenting. Det betyder at bevare i stilhed, få overblik og så lukke på et planlagt tidspunkt, typisk i forbindelse med et møde. → Fritstilling: den rigtige rækkefølge
Ventetiden skal være kort, ofte timer, ikke dage. Skriv ned, hvorfor I har valgt at vente, og hvem der har besluttet det. Hvis der senere sker noget i ventetiden, er det vigtigt at kunne vise, at valget var overvejet.
En mellemvej: begræns i stedet for at lukke
Der er ofte en mellemvej. IT kan for eksempel:
- fjerne administratorroller, men lade almindelig adgang være,
- fjerne adgangen til netbank og betalingssystemer,
- slå videresendelse til eksterne adresser fra,
- begrænse download fra fælles drev, hvis jeres system kan det,
- skifte koder til fælles konti, som medarbejderen ikke bruger i det daglige.
Det reducerer risikoen uden at afsløre planen. Notér hver ændring med klokkeslæt. Vær opmærksom på, at nogle ændringer kan ses af brugeren, og at en erfaren medarbejder kan lægge to og to sammen.
Glem ikke de adgange, der ikke står i IT’s liste
Hovedkontoen er sjældent den eneste adgang. I mindre virksomheder er det almindeligt, at en medarbejder også har:
- et login til en leverandørportal eller en grossist,
- adgang til virksomhedens side på sociale medier,
- en rolle i webshoppens administration,
- en fælles kode til et kundesystem eller en bookingtjeneste,
- en app på telefonen, der er koblet til et fagsystem.
Mange af dem administreres ikke af IT, og de bliver derfor ikke lukket, når hovedkontoen spærres. Spørg lederen og nærmeste kolleger, hvilke systemer medarbejderen brugte i hverdagen. Notér hver adgang, hvem der ejer den, og hvornår den blev lukket. Det er også den liste, I får brug for, hvis det senere skal vises, at virksomheden handlede hurtigt og ordentligt.
Hvem beslutter hvad
- Ledelsen · Beslutter, om der lukkes nu eller senere, og ejer beslutningen
- IT · Forklarer konsekvenserne, bevarer data, udfører lukningen
- HR · Koordinerer med møde og fritstilling
- Advokat · Vurderer, om der er juridiske hensyn til tidspunktet
- IT-sagkyndig · Rådgiver om, hvad lukningen gør ved det, der skal sikres
IT bør ikke stå alene med beslutningen. Det er en ledelsesbeslutning, fordi den handler om risiko, ikke kun om teknik.
Det skal I lade være med
- Lad være med at slette kontoen som en del af lukningen. Spær den, og bevar den.
- Lad være med at fjerne licensen for at spare penge, før I ved, om data skal bruges.
- Lad være med at fjernslette telefonen, fordi det føles sikkert. Det sletter både firmadata og spor.
- Lad være med at lukke uden at notere, hvad der var aktivt: sessioner, regler, delinger, enheder.
- Lad være med at lade medarbejderen selv logge af og rydde op, før adgangen lukkes.
Den sidste fejl sker ofte med god vilje. En leder siger: “Du kan lige gøre dine ting færdige i dag.” Det kan betyde, at filer slettes, flyttes eller sendes ud.
Hvis I allerede har lukket i hast
Mange opdager først bagefter, at kontoen er slettet, eller at licensen er fjernet. Stop op og bed IT undersøge, om sletningen kan fortrydes, og hvor længe det er muligt. I mange systemer er der en periode, hvor en slettet konto kan gendannes. Notér, hvornår kontoen blev slettet, af hvem, og hvorfor. Det er en del af dokumentationen.
Kan kontoen ikke gendannes, kan der stadig være spor i revisionsloggen, i backup, i kollegers postkasser og i andre systemer. En IT-sagkyndig kan vurdere, hvad der stadig kan sikres.
→ Microsoft 365-kontoen, når medarbejderen er stoppet
Hvornår skal I have hjælp udefra?
Hvis I er i tvivl, så ring, før I lukker. Et kort opkald til en IT-sagkyndig eller advokat kan afgøre, om I skal lukke nu eller om en time, og hvad der skal bevares først. Er der tale om timer, er det en hastesag, og hastesager koster ekstra. → Pris og tilbud hos Nielco IT
Logger en tidligere medarbejder stadig ind, efter at adgangen burde være lukket, så er rækkefølgen en anden: dokumentér adgangen først, og luk derefter. → En tidligere medarbejder logger stadig ind
Læs også: Fritstilling: den rigtige rækkefølge for adgange, udstyr og sikring · Før afskedigelsesmødet: det skal være sikret, inden I siger noget
→ Medarbejderen har taget data: hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
