Hantera nycklar och behörigheter när någon slutar

Följ upp återlämnade nycklar och borttagen kontoåtkomst var för sig.

En återlämnad nyckel betyder inte att åtkomsten till konton och filer är avslutad. Låt rätt administratör bekräfta att både fysisk och digital åtkomst som ska avslutas är avslutad.

Följ upp nycklar, taggar och konton

Bestäm vilken åtkomst som ska avslutas

Ange vad personen eller leverantören inte längre ska ha tillgång till och från när. Vid ett rollbyte kan viss åtkomst behövas även fortsättningsvis. Gå igenom lokaler, bokningssystem, delade filer och administration var för sig. Anpassa arbetsgången till era system och rutiner.
Kontrollera mot intern dokumentation

Stäm av utlämnade nycklar, taggar, konton och behörigheter mot er skyddade förteckning. Skriv inte den verkliga listan i ett offentligt protokoll eller på denna webbplats. Fråga även om tillfällig åtkomst och anslutna appar där det är relevant. Enbart personens minnesbild kan missa en äldre åtkomst.
Utför ändringen där den faktiskt styrs

Ta tillbaka fysiska bärare och låt behörig administratör återkalla digital åtkomst som inte behövs. NCSC rekommenderar personliga konton och att konton inaktiveras omedelbart när en användare slutar. Vid rollbyte ska kvarvarande behörighet motsvara det nya behovet. Planera informationsöverlämning så att nödvändigt material inte försvinner med kontot.
Stäng öppna frågor

Bekräfta vad som är utfört och vad som återstår hos exempelvis fastighetsägare, leverantör eller it-administratör. En saknad fysisk nyckel kan inte spärras på samma sätt som en tagg; begär en bedömning av följden och möjlig åtgärd. För digitala system behöver administratören kontrollera om sessioner, tokens eller annan åtkomst också berörs.

Begränsad tillfällig åtkomst eller vanlig behörighet?

Tillfällig och avgränsad: Passar en leverantör eller ett kort uppdrag. Avgränsa område och tid för åtkomsten och kontrollera att den avslutas som beslutat.
Personlig ordinarie behörighet: Passar återkommande arbete med ett varaktigt behov. Behörigheten behöver omprövas när arbetsuppgifter eller roller ändras.

Välj efter behovet, inte efter vad som går snabbast att dela ut. Ge inte bred åtkomst bara för att ett befintligt konto redan fungerar.

Fiktivt exempel: konsultuppdraget är klart

Konsulten lämnar taggen men har även ett personligt konto till dokumentytan. Uppdragsansvarig lämnar avslutsbeskedet, passersystemets administratör bekräftar taggen och it-administratören bekräftar kontot. Avslutet är inte klart förrän de två delarna är avstämda.

Är all berörd åtkomst hanterad?

Ni har en användbar avslutskontroll där fysisk och digital åtkomst kan följas upp var för sig.

Fysisk och digital åtkomst är avstämda var för sig.
Behöriga administratörer har bekräftat utförda ändringar.
Saknade bärare och kvarvarande åtkomst har en konkret fortsatt hantering.

Om kontot delas eller en nyckel saknas

Vi delar ett konto i styrelsen. Räcker ett lösenordsbyte?

Det kan finnas andra inloggade enheter och återställningsvägar. Följ leverantörens kontroll och planera personliga konton eller delegering där det stöds. Gör övergången med behörig administratör.

En tagg eller nyckel är borta innan avslutet. Ska vi vänta?

Nej. Rapportera förlusten via er interna väg direkt och kontakta rätt utfärdare. Åtgärden beror på vad den ger tillgång till och om den kan spärras.

Vem bedömer lås och systemåtkomst?

Fastighetsägare och låssmed bedömer fysiska låssystem. It-administratör bedömer systemåtkomst och informationsbevarande. Säkerhetsskyddad eller annan reglerad verksamhet behöver särskilda rutiner.

Källor och granskning