סיום העסקה בחברה הנבדקת לפי SOC 2: רשימת בדיקה לניתוק גישה ולתיעוד לביקורת
תהליך סיום העסקה מהודעת משאבי אנוש ועד לאישור השלמת הטיפול: ניתוק גישה, העברת מידע, החזרת ציוד וחלוקת אחריות בין החברה לספק ה-IT.
כשעובד עוזב, צריך לוודא שהגישה שלו למערכות בוטלה, שהמידע העסקי הועבר לאחראים המתאימים ושהפעולות תועדו. תהליך סיום העסקה (Offboarding) כולל ניתוק גישה, העברת אחריות ובדיקת הביצוע. רשימת הבדיקה שלהלן היא המלצה תפעולית: בחברה הנבדקת לפי SOC 2 יש להתאים אותה לבקרות החברה ולהיקף הביקורת.
סיכוני גישה והפרעות לעבודה
טיפול לא מסודר בעזיבת עובד עלול להשאיר גישה לא מורשית למערכות ולהקשות על המשך העבודה. חשבון שנותר פעיל עשוי לאפשר גישה למידע עסקי; מחיקה מוקדמת מדי עלולה לפגוע בהמשך הטיפול בלקוחות. אם תהליכים אוטומטיים עדיין פועלים באמצעות חשבון העובד, ביטולו עלול לעצור אותם.
גם ללא אירוע אבטחה, מנהלים ואנשי IT עלולים לבזבז זמן בחיפוש אישורים ובבירור הפעולות שבוצעו. העלות אינה מסתכמת ברישיון שלא בוטל: היא כוללת הפרעות לעבודה, טיפול בחריגים והשלמת תיעוד בדיעבד. בבחירת ספק, הגדירו מראש איזה תיעוד יידרש לאישור השלמת העבודה.
ניהול סיום העסקה ותיעוד לביקורת
תהליך מסודר מתחיל בהודעה מאושרת ממשאבי אנוש וממשיך במיפוי הרשאות, בניתוק גישה ובבדיקת השלמת הפעולות. קריטריוני AICPA משמשים להערכת בקרות הנוגעות לאבטחה, לזמינות, לשלמות העיבוד, לסודיות ולפרטיות. את הפעולות והתיעוד בתהליך העזיבה מומלץ להתאים לבקרות החברה ולהיקף ביקורת SOC 2; הרשימה במאמר אינה מוצגת כדרישה מפורשת של הקריטריונים. מקור: קריטריוני AICPA.
מגדירים מי מודיע, מתי מנתקים ומי אחראי
מחלקת משאבי אנוש מעבירה הודעה מאושרת ובה פרטי העובד, מועד סיום ההעסקה המדויק ואזור הזמן. המנהל מאשר למי תועבר האחריות למידע ולשירותים; צוות ה-IT מבצע את המשימות שהוקצו לו; והגורם האחראי לאבטחת המידע מגדיר את בדיקות ההשלמה. קבעו מראש מי מאשר ניתוק דחוף, למי מדווחים על עיכוב, מי מאשר טיפול בחריגים ומי מוסמך לסגור את הטיפול לאחר בדיקת התיעוד. החילו את התהליך גם על קבלנים ועל משתמשים אורחים.
את מועד הניתוק יש לקבוע לפי הדין החל, הסיכון והתחייבויות החברה, ולעגן אותו במדיניות מאושרת. בעזיבה מתוכננת מכינים מראש את העברת האחריות; בפיטורים מיידיים מתאמים את הניתוק עם הגורם המוסמך בחברה; ובשינוי תפקיד משאירים רק את ההרשאות שאושרו לתפקיד החדש.
בררו עם הגורם המשפטי אילו חובות חלות על ביטול ההרשאות ועל גישה לתכתובות העובד, ושלבו את ההנחיות בנוהל סיום ההעסקה.
ממפים הרשאות ומבטלים גישה בכל מערכת
מפו את חשבון המשתמש במערכת ניהול הזהויות, הדוא״ל, ה-VPN, תשתיות הענן, מאגרי הקוד, יישומי הענן, החשבונות המקומיים ואמצעי הכניסה הפיזיים. לאחר חסימת הזהות המרכזית, בדקו בנפרד שהגישה ליישומים נותקה. הכינו גם רשימה של מפתחות API, הרשאות לאינטגרציות וסיסמאות משותפות שיש לבחון את ביטולם או החלפתם.
ב-Microsoft Entra, השביתו את חשבון המשתמש ובצעו את פעולות ביטול הגישה המתאימות לתצורה שלכם, באמצעות בעל הרשאות מתאים. ייתכן פער בין תחילת הפעולה לבין ביטול הגישה בפועל. יישום עשוי לנהל חיבור מאומת משלו, ש-Entra אינו יכול לבטל ישירות. לכן בדקו אם נדרשת פעולת ניתוק גם ביישום עצמו ואמתו את התוצאה. הוראות Microsoft.
ב-GitHub, בעל הרשאת Owner בארגון יכול להסיר חברים מהארגון. אם החברות מנוהלת באמצעות ספק זהויות, בדקו את ההוראות לתצורה שלכם: בשימוש ב-SCIM בארגון עם חשבונות אישיים, ההנחיות כוללות הסרה מיישום GitHub אצל ספק הזהויות ומקבוצות המקושרות לצוותים בעלי גישה לארגון. בדקו גם חברות בארגונים אחרים באותו Enterprise וגישה למאגרים פנימיים. הסרה מהארגון אינה מוחקת עותקי קוד מקומיים; ודאו שהעובד קיבל הנחיות לטיפול במידע בהתאם לחובות הסודיות שלו. מדריך GitHub.
ב-Slack, בעלי תפקידים מתאימים יכולים להשבית חשבונות בהתאם להרשאותיהם. בדקו מי מוסמך לבצע את הפעולה בחשבון הרלוונטי ואמתו את השלמתה. הוראות Slack. ב-VPN, בדקו בתיעוד המוצר כיצד לבטל את גישת המשתמש ולטפל בחיבורים פעילים ובאמצעי הגישה שהוקצו לו.
להכנת רשימת המשימות לקראת פנייה לספק IT, אפשר להיעזר בעמוד קליטת עובדים וסיום העסקה.
מעבירים מידע ומטפלים בציוד ובחריגים
לפני מחיקת חשבון או הסרת רישיון ב-Microsoft 365, הגדירו כיצד יישמרו הדואר והקבצים ולמי נדרשת גישה לצורכי העבודה. מדריך Microsoft לטיפול בחשבון של עובד שעזב מבחין בין חסימת כניסה, שימור מידע והעברת גישה. לפני העברת גישה לתכתובות העובד, קבלו מהגורם המשפטי הנחיות לגבי היקף הגישה ואופן ביצועה.
תעדו את החזרת המחשב, הטלפון, תג הכניסה ומפתח האבטחה לפי מזהה הנכס. לעובדים מרוחקים קבעו מועד איסוף ואחראי למעקב. אם ציוד לא הוחזר, בדקו בתיעוד המוצר אילו פעולות ניהול נתמכות בתצורה שלכם ומה נדרש לביצוען. תעדו את הפעולה שאושרה ואת תוצאת הבדיקה; אל תסמנו אותה כהושלמה על סמך שליחת בקשה בלבד.
בדקו בתיעוד המוצרים אילו פעולות השבתה, איסוף תיעוד וניהול מכשירים נתמכות בתצורה שלכם, ואמתו את הביצוע. אם תהליך אוטומטי נכשל, פעלו לפי נוהל הטיפול בתקלה ובדקו אם נדרש טיפול ישיר ביישום. כללו ברשימת המשימות גם יישומים המנוהלים בנפרד וחשבונות שירות שבאחריות העובד. אם הניתוק בוצע באיחור, תעדו את שעת הביצוע בפועל, את סיבת העיכוב, את בדיקת החשיפה ואת פעולת התיקון. אין לשנות חותמות זמן בדיעבד.
בודקים את התיעוד לפני שסוגרים את הטיפול
לפני סגירת הטיפול בעזיבה, השוו בין רשימת ההרשאות לבין תיעוד הביצוע בכל מערכת. את הטבלה הבאה אפשר להעתיק לגיליון ולייצא ממנו קובץ CSV. הוסיפו שורה נפרדת לכל מערכת ולכל נכס.
פעולה | מערכת | אחראי לביצוע | מועד יעד | ביצוע בפועל | תיעוד נדרש | אחראי לאימות |
|---|---|---|---|---|---|---|
חסימת חשבון | מערכת ניהול הזהויות | איש ה-IT האחראי | לפי הדין והנוהל המאושר | תאריך, שעה ואזור זמן | יומן שינויים | הגורם שנקבע לבדיקה |
ביטול גישה | כל יישום בנפרד | האחראי למערכת | לפי הדין והנוהל המאושר | תאריך, שעה ואזור זמן | יומן פעולות ומצב החשבון | הגורם שנקבע לבדיקה |
החזרת ציוד | מערכת רישום הנכסים | האחראי לתפעול | המועד שתואם | מועד הקבלה | מזהה נכס ואישור קבלה | האחראי לנכסים |
דוגמה להמחשה בלבד, שאינה מקרה לקוח: תיק הטיפול בעזיבה כולל הודעה ממשאבי אנוש ובה מועד העזיבה המאושר; קריאת שירות המרכזת את המשימות והאחראים; רשימת מערכות המגדירה את היקף הבדיקה; ויומני פעולות המראים מה בוצע ומתי. אישור החזרת הציוד כולל את מזהי הנכסים שהתקבלו. אישור הסגירה מציין מי בדק את התיעוד מול רשימת המשימות, אילו חריגים נותרו ומי אישר את אופן הטיפול בהם.
הכנה לפנייה ל-1iT
בפנייה ל-1iT, הכינו את רשימת המערכות, נוהל העזיבה ודרישות התיעוד שלכם. פרטו את המשימות המבוקשות ובקשו הצעה המגדירה את היקף העבודה, חלוקת האחריות, העלות ותנאי השלמת הטיפול.
אם יש בחברה צוות IT פנימי, אפשר להיעזר בעמוד ניהול IT בשיתוף הצוות הפנימי להכנת הדיון על חלוקת העבודה. יש לוודא בהצעה אילו משימות כלולות ואילו דורשות הסכמה נוספת.
שאלות נפוצות
מה כדאי להכין לביקורת SOC 2 כשעובד או קבלן עוזב?
מתי צריך לנתק את הגישה?
מה נכלל בהתקשרות וכיצד נקבעת העלות?
מידע נוסף להכנת התהליך: קליטת עובדים וסיום העסקה.