Wahrung der Datensicherheit, wenn Mitarbeiter entlassen oder beurlaubt werden

In schwierigen Zeiten müssen Arbeitgeber den Gürtel enger schnallen, was oft mit Personalabbau auf unbestimmte Zeit oder unbefristet einhergeht. In jedem Fall muss der Offboarding-Prozess vorher sorgfältig geprüft werden.

Die Personalabteilung muss eng mit der IT-Abteilung zusammenarbeiten, um ihren Abgang zu koordinieren und sicherzustellen, dass wertvolle Unternehmensdaten nicht gefährdet werden.

Je nachdem, wie lange der Mitarbeiter schon im Unternehmen ist, dürfte dies keine leichte Aufgabe sein. Der Mitarbeiter hat Zugriff auf viele verschiedene Ressourcen und seine persönlichen Daten könnten über mehrere Plattformen und Rechenzentren verteilt sein.

Die IT-Abteilung muss ausreichend Zeit damit verbringen, eine umfassende Checkliste zu erstellen, der die Personalabteilung folgen kann. Im Folgenden sind einige der wichtigsten Bereiche aufgeführt, die bei der Entwicklung einer Offboarding-Checkliste berücksichtigt werden müssen.

Autorisierte Konten löschen und deaktivieren

Unternehmen versäumen es oft, inaktive Benutzerkonten ordnungsgemäß zu verwalten, was dazu führt, dass ehemalige Mitarbeiter auch nach ihrem Ausscheiden weiterhin auf Unternehmensdaten zugreifen können. Wenn der Mitarbeiter das Unternehmen zu schlechten Konditionen verlassen hat, kann es sein, dass er sich aus böswilligen Gründen dazu entschließt, sich wieder in sein Konto einzuloggen - vielleicht um Daten aus finanziellen Gründen zu stehlen.

Selbst wenn der Mitarbeiter das Unternehmen nicht zu schlechten Konditionen verlassen hat, kann es sein, dass er aus Neugier, Langeweile oder vielleicht auch für einen Streich versucht, auf sein Konto zuzugreifen. Sie können sich beispielsweise dazu entschließen, sich beim Twitter-Konto des Unternehmens anzumelden und einen „lustigen“ Tweet abzufeuern. Sie beschließen möglicherweise, die Sicherheitseinstellungen zu manipulieren und so Hackern das Eindringen in das System zu erleichtern.

Alternativ könnte das Gerät des ehemaligen Mitarbeiters verloren gehen, gestohlen oder beschädigt und in eine Reparaturwerkstatt gebracht werden. So oder so: Wenn ein Unternehmen inaktive Benutzerkonten nicht umgehend verwaltet, besteht die Möglichkeit, dass sich jemand unbefugten Zugriff auf Unternehmensdaten verschafft.

In einer idealen Welt hätte jeder Mitarbeiter nur einen Satz Zugangsdaten, mit denen er auf alle Systeme und Daten zugreifen würde. Allerdings nutzen viele Unternehmen neben ihren neuen Systemen möglicherweise immer noch veraltete Legacy-Systeme.

In diesem Fall muss die Personalabteilung genau wissen, auf welche Systeme der Mitarbeiter Zugriff hatte. Dazu muss sie mit allen relevanten Abteilungen kommunizieren - am wichtigsten mit der IT. Sie müssen alle mit dem Mitarbeiter verknüpften E-Mail- und Social-Media-Konten entfernen. Geben Sie dem Mitarbeiter jedoch die Möglichkeit, Autoresponder einzurichten und alle offenen Fragen zu klären, bevor Sie dies tun.

Natürlich kann die Verwaltung inaktiver Benutzerkonten manuell erfolgen. Es ist jedoch zu beachten, dass es eine Reihe proprietärer Echtzeit-Überwachungslösungen gibt, die inaktive Benutzerkonten automatisch erkennen und verwalten können.

Wenn Sie sich in einer Situation befinden, in der Sie Personal abbauen müssen, sollte natürlich jede Lösung in Betracht gezogen werden, die den Offboarding-Prozess oder jeden anderen Prozess in diesem Bereich automatisieren kann.

Persönliche Daten entfernen

Alle Informationen im Zusammenhang mit der Entlassung eines beurlaubten Mitarbeiters, die nicht mehr benötigt werden, sollten sorgfältig aus dem System entfernt werden. Bevor Sie dies tun, stellen Sie sicher, dass Sie Ihre rechtlichen Verantwortlichkeiten verstehen. Beispielsweise können Unternehmen verpflichtet sein, bestimmte Informationen über den Mitarbeiter aufzubewahren, etwa aus steuerlichen Gründen.

Stellen Sie sicher, dass Sie wissen, welche Datenschutzgesetze für Ihr Unternehmen gelten, welche Regeln festlegen, welche Daten gespeichert werden dürfen und welche Protokolle für deren Löschung empfohlen werden.

Geteilte Passwörter ändern

Obwohl dies nicht empfohlen wird, ist es nicht ungewöhnlich, dass Benutzer dieselben Anmeldeinformationen verwenden. Wie oben erwähnt, haben Benutzer manchmal gemeinsamen Zugriff auf Social-Media-Konten wie LinkedIn oder Twitter. Möglicherweise teilen sie auch den Zugriff auf privilegierte E-Mail-Konten, etwa um Kundenbeschwerden und -anfragen zu bearbeiten.

Selbstverständlich sollte einem Mitarbeiter, der beurlaubt oder entlassen wurde, nach seinem Ausscheiden der Zugriff auf diese Konten verwehrt werden. Das offensichtliche Problem bei gemeinsam genutzten Konten besteht jedoch darin, dass es unmöglich ist, einem einzelnen Benutzer den Zugriff auf das Konto zu sperren, ohne das Kontokennwort zu ändern. In diesem Fall müssen Sie sicherstellen, dass Sie alle relevanten Mitarbeiter über die Passwortänderung informieren und ihnen ein bestimmtes Datum und eine bestimmte Uhrzeit für die Änderung mitteilen.

Natürlich müssen Sie zunächst sicherstellen, dass alle anderen Benutzerkonten des entlassenen Mitarbeiters gelöscht wurden, um sicherzustellen, dass dieser keinen Zugriff auf das neue Passwort erhält. Es kann sinnvoll sein, dafür zu sorgen, dass alle gemeinsam genutzten Passwörter ein Ablaufdatum haben.

Es stehen Lösungen zur Verfügung, die den Prozess der Erinnerung an Administratoren automatisieren können, das Passwort für das gemeinsame Konto zurückzusetzen.

Wiederherstellung von Unternehmensgeräten

Unternehmen stellen ihren Mitarbeitern häufig mobile Geräte und Laptops zur Verfügung. Und wir gehen davon aus, dass diese Geräte von der IT-Abteilung überprüft wurden, um sicherzustellen, dass sie den Sicherheitsanforderungen des Unternehmens entsprechen. Wenn ein Mitarbeiter das Unternehmen verlässt, müssen Sie nicht nur sicherstellen, dass Sie diese Geräte wiederherstellen, sondern auch zusätzliche Sicherheitskontrollen durchführen.

Dazu kann das Scannen auf Malware, anfällige Anwendungen oder alles andere gehören, was darauf hindeuten könnte, dass das Gerät auf irgendeine Weise kompromittiert wurde. Viele dieser Geräte haben Zugriff auf die Anwendungen und Server des Unternehmens, auch wenn die Person, die das Gerät besitzt, keinen Zugriff auf Anmeldeinformationen hat.

Geben Sie dem Mitarbeiter vor der Wiederherstellung des Geräts die Möglichkeit, sich selbst zu bereinigen. Hierzu gehört auch das Sichern und Entfernen aller Daten auf dem ihm gehörenden Gerät. Bieten Sie ihnen alternativ Ihre Hilfe an, indem Sie ihre Daten vom Gerät extrahieren und ihnen per E-Mail zusenden oder auf einem tragbaren Laufwerk speichern.

Löschen aller Unternehmensdaten von persönlichen Geräten

Heutzutage haben immer mehr Unternehmen eine Bring Your Own Device (BYOD)-Richtlinie eingeführt, die es Mitarbeitern, wie das Akronym schon sagt, erlaubt, ihr eigenes Gerät am Arbeitsplatz zu verwenden. Aufgrund der erheblichen Sicherheitsrisiken, die BYOD mit sich bringt, führen viele Unternehmen jedoch Sicherheitsüberprüfungen dieser Geräte durch, bevor sie für den Zugriff auf das Unternehmensnetzwerk verwendet werden können.

Das ist großartig, aber was passiert, wenn ein Mitarbeiter Ihr Unternehmen verlässt? Im Idealfall ermöglicht Ihnen der zukünftige ehemalige Mitarbeiter eine erneute Sicherheitsüberprüfung seines Geräts, um sicherzustellen, dass alle Unternehmensdaten und Anwendungen, die Zugriff auf Unternehmensdaten haben, sicher entfernt werden.

Natürlich ist der entlassene oder beurlaubte Mitarbeiter möglicherweise nicht zur Zusammenarbeit bereit, insbesondere wenn er mit den Bedingungen seiner Entlassung unzufrieden ist. In diesem Fall müssen Sie sie möglicherweise bitten, einen rechtsgültigen Vertrag zu unterzeichnen, bevor sie ihr Gerät für den Zugriff auf Unternehmensdaten verwenden dürfen.

Effektive Kommunikation

Unternehmen müssen ein Gleichgewicht zwischen der Gewährleistung der Sicherheit ihrer Daten und der Freundlichkeit und Reaktionsfähigkeit auf die Anliegen der Mitarbeiter finden. Letztendlich brauchen Sie ihre Mitarbeit. Sie wie Kriminelle zu behandeln, obwohl sie nichts Falsches getan haben, könnte möglicherweise nach hinten losgehen. Kommunizieren Sie so viel wie möglich mit den Mitarbeitern.

Sprechen Sie mit ihnen über die Bedeutung der Datensicherheit und versichern Sie ihnen, dass die scheinbar drakonischen Protokolle, deren Einhaltung Sie von ihnen verlangen, notwendig und nicht personenbezogen sind.

Wenn Sie sehen möchten, wie Lepide Ihnen dabei helfen kann, die Datensicherheit bei der Arbeit mit beurlaubten Mitarbeitern aufrechtzuerhalten, vereinbaren Sie noch heute einen Termin für eine Demo der Lepide Data Security Platform.