Cách thu hồi quyền truy cập nhân viên

Quy trình đúng cần được kích hoạt từ thông tin nghỉ việc chính thức, xác định thời điểm cắt quyền phù hợp với mức độ rủi ro, vô hiệu hóa tài khoản trung tâm, thu hồi phiên đăng nhập và token, xử lý các quyền nằm ngoài hệ thống quản lý danh tính, thu hồi tài sản, chuyển giao dữ liệu, sau đó kiểm tra độc lập để xác nhận không còn đường truy cập nào hoạt động.

Vì sao phải thu hồi quyền ngay khi quan hệ lao động kết thúc?

Khi nhân viên nghỉ việc, nhu cầu công việc hợp pháp gắn với tài khoản của họ không còn tồn tại. Nếu quyền truy cập vẫn được duy trì, doanh nghiệp có thể đối mặt với các rủi ro như:

·         Truy cập trái phép vào dữ liệu khách hàng, tài liệu nội bộ hoặc bí mật kinh doanh

·         Sao chép, sửa đổi hoặc xóa dữ liệu sau thời điểm nghỉ việc

·         Tiếp tục sử dụng email doanh nghiệp để giao dịch hoặc mạo danh tổ chức

·         Khai thác các phiên đăng nhập còn hiệu lực dù tài khoản đã bị đổi mật khẩu

·         Sử dụng API key, token cá nhân hoặc tài khoản dùng chung chưa được thu hồi

·         Làm mất khả năng quy trách nhiệm nếu tài khoản bị xóa trước khi bảo toàn nhật ký

CIS Controls yêu cầu doanh nghiệp thiết lập quy trình thu hồi quyền, ưu tiên tự động hóa và vô hiệu hóa tài khoản ngay khi nhân viên chấm dứt công việc, bị rút quyền hoặc thay đổi vai trò. CIS cũng lưu ý rằng vô hiệu hóa tài khoản thay vì xóa ngay có thể cần thiết để bảo toàn dấu vết kiểm toán.

NIST SP 800-53 đặt quản lý tài khoản trong mối liên hệ trực tiếp với quy trình chấm dứt hoặc điều chuyển nhân sự. Cách tiếp cận này cho thấy offboarding phải là một quy trình liên phòng ban, không phải công việc riêng lẻ của bộ phận CNTT.

Xác định thời điểm cắt quyền theo tình huống nghỉ việc

Thời điểm thu hồi quyền phải được xác định trước và ghi rõ trong yêu cầu offboarding. Không nên áp dụng một thời điểm cố định cho mọi trường hợp.

Nghỉ việc có kế hoạch

Với trường hợp nhân viên đã thông báo trước và tiếp tục làm việc trong thời gian bàn giao, doanh nghiệp có thể duy trì quyền cần thiết đến thời điểm kết thúc ngày làm việc cuối cùng.

Tuy nhiên, trong thời gian báo trước cần xem xét giảm sớm các quyền có rủi ro cao, chẳng hạn:

·         Quyền quản trị hệ thống

·         Quyền xuất dữ liệu hàng loạt

·         Quyền truy cập kho mã nguồn quan trọng

·         Quyền thay đổi cấu hình bảo mật

·         Quyền quản lý thanh toán hoặc tài khoản ngân hàng

·         Quyền tạo tài khoản, API key hoặc thông tin xác thực mới

Việc giảm quyền trước ngày nghỉ không nên dựa trên cảm tính. Quyết định cần căn cứ vào nhiệm vụ bàn giao còn lại, mức độ nhạy cảm của dữ liệu và nguyên tắc đặc quyền tối thiểu.

Chấm dứt đột xuất hoặc có rủi ro cao

Nếu nhân viên bị chấm dứt ngay, có tranh chấp, dấu hiệu vi phạm hoặc nguy cơ phá hoại, quyền truy cập phải được khóa đồng thời hoặc ngay trước thời điểm thông báo chấm dứt.

Trong tình huống này, HR, quản lý, CNTT và an ninh thông tin phải thống nhất chính xác thời điểm hành động. Việc thông báo trước cho người bị chấm dứt khi tài khoản vẫn hoạt động có thể tạo ra khoảng thời gian đủ để sao chép hoặc phá hủy dữ liệu.

Điều chuyển nội bộ

Nhân viên chuyển bộ phận không phải là trường hợp “không cần offboarding”. Quyền của vai trò cũ vẫn phải được thu hồi, sau đó mới cấp quyền theo vai trò mới.

Nếu chỉ bổ sung quyền mới mà không xóa quyền cũ, người dùng sẽ tích lũy quyền theo thời gian. Hiện tượng này làm tăng phạm vi truy cập vượt quá nhu cầu công việc và khiến việc kiểm soát quyền ngày càng khó khăn.

Chuẩn bị danh mục tài khoản và quyền cần thu hồi

Doanh nghiệp không thể thu hồi đầy đủ nếu không biết nhân viên đang có những quyền nào. Trước thời điểm nghỉ việc, người phụ trách cần tạo danh mục truy cập dựa trên hệ thống quản lý danh tính, hồ sơ cấp quyền, danh sách thiết bị và xác nhận của quản lý trực tiếp.

Danh mục tối thiểu nên bao gồm:

·         Tài khoản thư mục doanh nghiệp và hệ thống đăng nhập một lần

·         Email, lịch, danh bạ và nền tảng cộng tác

·         VPN, Wi-Fi, hệ thống truy cập từ xa và máy chủ trung gian

·         Ứng dụng SaaS do doanh nghiệp quản lý

·         Hệ thống ERP, CRM, kế toán, nhân sự và vận hành

·         Kho mã nguồn, nền tảng CI/CD và hệ thống quản lý cấu hình

·         Hạ tầng đám mây, bảng điều khiển quản trị và tài khoản đặc quyền

·         Cơ sở dữ liệu, kho dữ liệu, công cụ phân tích và hệ thống báo cáo

·         API key, access token, SSH key, chứng thư số và mật khẩu ứng dụng

·         Tài khoản mạng xã hội, quảng cáo, tên miền và dịch vụ bên thứ ba

·         Tài khoản dùng chung hoặc thông tin xác thực mà nhân viên từng biết

·         Laptop, điện thoại, thẻ ra vào, USB bảo mật và thiết bị xác thực

·         Tài khoản khách, tài khoản nhà thầu hoặc danh tính bên ngoài liên quan

CIS khuyến nghị duy trì danh mục tài khoản như nền tảng của hoạt động quản lý quyền. Nếu doanh nghiệp chỉ dựa vào trí nhớ của quản lý hoặc một danh sách ứng dụng không được cập nhật, các tài khoản ngoài luồng rất dễ bị bỏ sót.

Quy trình thu hồi quyền truy cập nhân viên

Bước 1: Khởi tạo yêu cầu offboarding chính thức

HR hoặc bộ phận có thẩm quyền phải tạo yêu cầu offboarding với tối thiểu các thông tin:

·         Họ tên và mã nhân viên

·         Bộ phận, chức danh và quản lý trực tiếp

·         Ngày, giờ kết thúc quyền truy cập

·         Hình thức nghỉ việc

·         Mức độ rủi ro của trường hợp

·         Người tiếp nhận công việc và dữ liệu

·         Tài sản phải thu hồi

·         Yêu cầu bảo toàn dữ liệu hoặc điều tra, nếu có

Yêu cầu phải đi qua kênh có kiểm soát như hệ thống quản lý dịch vụ, nền tảng quản trị nhân sự hoặc workflow danh tính. Email tự do hoặc tin nhắn riêng có thể thiếu bằng chứng phê duyệt, sai thời điểm hoặc không được theo dõi đến khi hoàn tất.

Bước 2: Khóa tài khoản định danh trung tâm

Tại thời điểm đã phê duyệt, quản trị viên cần vô hiệu hóa tài khoản trong hệ thống định danh trung tâm như Active Directory, Microsoft Entra ID hoặc nhà cung cấp danh tính tương đương.

Khóa tài khoản trung tâm giúp ngăn các lần đăng nhập mới vào những ứng dụng được liên kết qua đăng nhập một lần. Tuy nhiên, đây chưa phải là bước cuối cùng vì người dùng có thể vẫn giữ phiên đăng nhập, token hoặc tài khoản cục bộ không phụ thuộc hệ thống trung tâm.

Không nên xóa vĩnh viễn tài khoản ngay tại bước này. Vô hiệu hóa trước giúp:

·         Bảo toàn nhật ký và lịch sử hoạt động

·         Giữ liên kết giữa người dùng với tài liệu đã tạo

·         Hỗ trợ điều tra khi phát sinh sự cố

·         Cho phép chuyển giao dữ liệu có kiểm soát

·         Giảm nguy cơ xóa nhầm hoặc mất bằng chứng

Bước 3: Chấm dứt phiên đăng nhập và thu hồi token

Đổi mật khẩu hoặc khóa tài khoản không phải lúc nào cũng làm mất hiệu lực ngay mọi phiên đã đăng nhập. Vì vậy, quy trình phải bao gồm:

·         Đăng xuất người dùng khỏi tất cả phiên

·         Thu hồi refresh token

·         Thu hồi token truy cập cá nhân

·         Hủy mật khẩu ứng dụng

·         Thu hồi phiên VPN và truy cập từ xa

·         Hủy cookie hoặc phiên ứng dụng khi hệ thống hỗ trợ

·         Thu hồi chứng thư số và khóa xác thực gắn với người dùng

Trong Microsoft Entra ID, quản trị viên có thể chặn đăng nhập mới và thu hồi refresh token. Đây là hai hành động riêng biệt và cần được thực hiện cùng nhau khi yêu cầu chấm dứt truy cập khẩn cấp.

Microsoft cũng cảnh báo rằng thao tác chặn đăng nhập Microsoft 365 có thể mất tới 24 giờ mới có hiệu lực đầy đủ; trong trường hợp cần ngăn truy cập ngay, cần kết hợp với đặt lại mật khẩu và đăng xuất khỏi các phiên đang hoạt động.

Bước 4: Thu hồi xác thực đa yếu tố và phương thức khôi phục

Người phụ trách phải xóa hoặc vô hiệu hóa các phương thức xác thực thuộc về nhân viên, gồm:

·         Ứng dụng xác thực

·         Số điện thoại nhận mã

·         Khóa bảo mật vật lý

·         Passkey

·         Chứng thư người dùng

·         Mã khôi phục

·         Email hoặc số điện thoại khôi phục

·         Thiết bị được đánh dấu tin cậy

Nếu giữ lại phương thức xác thực cũ, doanh nghiệp có thể gặp khó khăn khi tái sử dụng tài khoản cho mục đích chuyển giao hoặc khi cần khôi phục dữ liệu dưới sự giám sát.

Bước 5: Xóa quyền trong ứng dụng và hệ thống ngoài SSO

Không phải ứng dụng nào cũng được kết nối với hệ thống định danh trung tâm. Một số dịch vụ có tài khoản độc lập, tài khoản khách, thông tin đăng nhập cục bộ hoặc quyền được cấp trực tiếp.

Cần kiểm tra riêng:

·         SaaS mua bằng thẻ doanh nghiệp

·         Công cụ do nhóm tự đăng ký

·         Tài khoản quản trị của nhà cung cấp

·         Kho mã nguồn bên ngoài

·         Cổng hỗ trợ khách hàng

·         Tài khoản quảng cáo và mạng xã hội

·         Nền tảng lưu trữ, chia sẻ tệp

·         Hệ thống cũ không hỗ trợ SSO

·         Quyền truy cập được cấp thông qua nhóm bên ngoài

Với mỗi ứng dụng, phải xác nhận cả trạng thái tài khoản và quyền gián tiếp qua nhóm, vai trò hoặc access package. Các nền tảng quản trị danh tính hiện đại có thể tự động đưa việc xóa gói quyền vào workflow offboarding, giúp giảm phụ thuộc vào thao tác thủ công.

Bước 6: Xử lý tài khoản đặc quyền và bí mật dùng chung

Đây là bước có mức độ rủi ro cao nhất vì nhân viên kỹ thuật, quản trị viên hoặc nhân sự tài chính có thể biết các bí mật không gắn riêng với tài khoản cá nhân.

Doanh nghiệp cần:

·         Xóa người dùng khỏi nhóm quản trị

·         Thu hồi vai trò đặc quyền trên đám mây

·         Xóa SSH key khỏi máy chủ và kho mã nguồn

·         Thu hồi personal access token

·         Thu hồi API key do người dùng tạo

·         Đổi mật khẩu tài khoản dùng chung mà người đó từng biết

·         Luân chuyển secret trong kho bí mật

·         Thay mã PIN, mã cửa hoặc mã thiết bị dùng chung khi cần

·         Kiểm tra tài khoản dịch vụ do nhân viên sở hữu hoặc duy trì

Nếu chỉ khóa tài khoản cá nhân mà không luân chuyển bí mật dùng chung, người đã nghỉ vẫn có thể truy cập bằng thông tin xác thực không mang tên họ. NIST cũng yêu cầu quy trình quản lý tài khoản xử lý thông tin xác thực của tài khoản dùng chung hoặc tài khoản nhóm khi một thành viên rời nhóm.

Bước 7: Thu hồi thiết bị và ngăn truy cập từ thiết bị cũ

Doanh nghiệp phải thu hồi hoặc xử lý các thiết bị đã cấp:

·         Máy tính xách tay

·         Điện thoại

·         Máy tính bảng

·         Thẻ ra vào

·         USB bảo mật

·         Token phần cứng

·         SIM doanh nghiệp

·         Thiết bị lưu trữ

·         Thiết bị chuyên dụng

Với thiết bị chưa thể thu hồi ngay, cần áp dụng biện pháp từ xa phù hợp:

·         Khóa thiết bị

·         Thu hồi chứng thư

·         Xóa dữ liệu doanh nghiệp

·         Gỡ hồ sơ quản lý

·         Vô hiệu hóa truy cập VPN

·         Đánh dấu thiết bị không còn tuân thủ

·         Chặn thiết bị trong chính sách truy cập có điều kiện

Không nên xóa toàn bộ thiết bị một cách tự động nếu có yêu cầu bảo toàn bằng chứng. Trong trường hợp nghi ngờ vi phạm, bộ phận an ninh hoặc pháp chế cần xác định trước liệu thiết bị phải được cô lập, sao lưu pháp chứng hay xóa dữ liệu.

Bước 8: Chuyển giao và bảo toàn dữ liệu công việc

Thu hồi quyền không đồng nghĩa với xóa dữ liệu do nhân viên tạo ra. Trước khi xóa hoặc giải phóng giấy phép, doanh nghiệp cần xác định:

·         Ai tiếp nhận email và tài liệu công việc

·         Hộp thư có cần chuyển tiếp hay chuyển thành hộp thư dùng chung không

·         Tài liệu cá nhân nào thuộc sở hữu doanh nghiệp

·         Lịch, danh bạ và cuộc họp nào cần chuyển giao

·         Dashboard, workflow hoặc tác vụ tự động nào đang đứng tên người nghỉ việc

·         Kho mã nguồn, khóa triển khai hoặc ứng dụng nào phụ thuộc tài khoản của họ

·         Dữ liệu nào phải lưu theo chính sách lưu giữ

·         Dữ liệu nào phải hạn chế truy cập vì liên quan đến nhân sự hoặc điều tra

Việc bàn giao cần được thực hiện thông qua quyền quản trị và có phê duyệt. Không nên yêu cầu người quản lý đăng nhập bằng mật khẩu của nhân viên cũ vì cách này làm mất khả năng quy trách nhiệm và có thể tạo thêm rủi ro bảo mật.

Bước 9: Thu hồi quyền vật lý và quan hệ với bên thứ ba

Quyền dữ liệu có thể bị khai thác thông qua quyền vật lý hoặc quan hệ với nhà cung cấp. Vì vậy, cần đồng thời:

·         Vô hiệu hóa thẻ ra vào

·         Thu hồi chìa khóa và thẻ gửi xe

·         Xóa quyền vào phòng máy hoặc khu vực hạn chế

·         Thông báo cho lễ tân và bảo vệ khi cần

·         Xóa người dùng khỏi danh sách liên hệ được ủy quyền

·         Thông báo cho nhà cung cấp về thay đổi đầu mối

·         Thu hồi quyền phê duyệt giao dịch hoặc ký điện tử

·         Cập nhật người sở hữu tài khoản, tên miền và dịch vụ bên ngoài

Mục tiêu là loại bỏ cả quyền kỹ thuật lẫn khả năng yêu cầu bên thứ ba thực hiện hành động dựa trên chức danh cũ.

Bước 10: Xác minh sau thu hồi

Quy trình chỉ hoàn tất khi có bằng chứng xác nhận quyền đã bị thu hồi. Người kiểm tra nên độc lập với người thực hiện ở các hệ thống quan trọng.

Hoạt động xác minh gồm:

·         Thử đăng nhập phải thất bại

·         Tài khoản trung tâm ở trạng thái vô hiệu hóa

·         Không còn phiên hoặc token hoạt động

·         Người dùng đã bị xóa khỏi nhóm và vai trò

·         Không còn quyền quản trị hoặc quyền truy cập dữ liệu

·         Thiết bị đã được thu hồi, khóa hoặc xử lý

·         Bí mật dùng chung đã được luân chuyển

·         Dữ liệu công việc đã được chuyển giao

·         Nhật ký và bằng chứng đã được lưu

·         Ticket có người thực hiện, thời gian và kết quả kiểm tra

Với các hệ thống nhạy cảm, nên tiếp tục giám sát trong một khoảng thời gian theo chính sách nội bộ để phát hiện:

·         Đăng nhập bằng tài khoản cũ

·         Hoạt động từ token chưa được phát hiện

·         Truy cập qua tài khoản dùng chung

·         Tải xuống hoặc xuất dữ liệu bất thường trước ngày nghỉ

·         Yêu cầu đặt lại mật khẩu bất thường

·         Truy cập từ thiết bị chưa thu hồi

Phân công trách nhiệm giữa các bộ phận

Nhân sự

HR chịu trách nhiệm cung cấp thông tin nghỉ việc chính xác, thời điểm hiệu lực, loại hình chấm dứt và các yêu cầu đặc biệt. HR không nên trực tiếp thao tác kỹ thuật nhưng phải là nguồn kích hoạt chính thức của workflow.

Quản lý trực tiếp

Quản lý xác nhận hệ thống nhân viên đã sử dụng, dữ liệu cần bàn giao, người tiếp nhận và các quyền đặc thù không thể hiện trong danh mục tập trung.

Bộ phận CNTT

CNTT vô hiệu hóa tài khoản, thu hồi thiết bị, xử lý email, chuyển giao dữ liệu và cập nhật trạng thái trong hệ thống quản lý dịch vụ.

Bộ phận an ninh thông tin

An ninh thông tin đánh giá rủi ro, xử lý trường hợp đặc quyền, thu hồi token và bí mật, giám sát sau nghỉ việc, đồng thời bảo toàn bằng chứng khi có dấu hiệu sự cố.

Pháp chế hoặc tuân thủ

Bộ phận pháp chế hoặc tuân thủ xác định yêu cầu lưu giữ, giới hạn truy cập dữ liệu cá nhân, nghĩa vụ điều tra và quy trình xử lý dữ liệu trong trường hợp tranh chấp.

Nên vô hiệu hóa hay xóa tài khoản?

Trong phần lớn trường hợp, tài khoản nên được vô hiệu hóa trước, sau đó mới xóa theo chính sách lưu giữ của doanh nghiệp.

Vô hiệu hóa phù hợp ngay tại thời điểm nghỉ việc vì giúp chặn sử dụng nhưng vẫn giữ:

·         Nhật ký kiểm toán

·         Quyền sở hữu tài liệu

·         Quan hệ giữa tài khoản và giao dịch

·         Khả năng điều tra

·         Khả năng khôi phục khi thao tác nhầm

Xóa tài khoản chỉ nên thực hiện sau khi:

·         Dữ liệu đã được chuyển giao

·         Yêu cầu lưu giữ đã được kiểm tra

·         Nhật ký cần thiết đã được bảo toàn

·         Giấy phép đã được xử lý

·         Thời hạn chờ theo chính sách đã kết thúc

·         Có phê duyệt phù hợp

Xóa quá sớm có thể làm mất dữ liệu và bằng chứng. Ngược lại, giữ tài khoản ở trạng thái hoạt động để “phòng khi cần” là không phù hợp. CIS khuyến nghị vô hiệu hóa ngay khi chấm dứt và cho phép trì hoãn việc xóa nhằm bảo toàn dấu vết kiểm toán.

Những sai sót phổ biến khi thu hồi quyền

Chỉ khóa email

Email chỉ là một trong nhiều điểm truy cập. Nhân viên có thể vẫn sử dụng VPN, SaaS, kho mã nguồn, token hoặc tài khoản cục bộ.

Chỉ đổi mật khẩu

Phiên đăng nhập và refresh token có thể tiếp tục hoạt động. Cần chấm dứt phiên, thu hồi token và chặn đăng nhập mới.

Xóa tài khoản ngay lập tức

Xóa tài khoản có thể làm mất lịch sử, dữ liệu sở hữu và bằng chứng. Nên vô hiệu hóa trước, chuyển giao dữ liệu rồi mới xóa theo chính sách.

Không đổi bí mật dùng chung

Khóa tài khoản cá nhân không làm mất hiệu lực mật khẩu chung, API key hoặc mã cửa mà nhân viên đã biết.

Phụ thuộc hoàn toàn vào quản lý trực tiếp

Người quản lý có thể không biết mọi tài khoản mà nhân viên đã tạo. Danh mục quyền phải kết hợp dữ liệu từ hệ thống danh tính, quản lý thiết bị, nhật ký ứng dụng và hồ sơ cấp quyền.

Không kiểm tra kết quả

Một ticket được đánh dấu hoàn tất không chứng minh rằng quyền đã thực sự bị thu hồi. Cần có bước xác minh kỹ thuật và lưu bằng chứng.

Cách tự động hóa quy trình offboarding

Tự động hóa giúp giảm thời gian giữa thông báo nghỉ việc và thời điểm cắt quyền, đồng thời hạn chế việc bỏ sót hệ thống.

Một workflow hiệu quả có thể vận hành theo chuỗi:

1.    HR cập nhật ngày nghỉ việc trong hệ thống nhân sự

2.    Hệ thống tạo sự kiện offboarding tại thời điểm đã định

3.    Nền tảng quản trị danh tính vô hiệu hóa tài khoản

4.    Phiên đăng nhập và token bị thu hồi

5.    Người dùng bị xóa khỏi nhóm, vai trò và gói quyền

6.    Ticket thu hồi thiết bị được gửi đến CNTT

7.    Yêu cầu chuyển giao dữ liệu được gửi cho quản lý

8.    Ngoại lệ hoặc lỗi được chuyển đến người xử lý

9.    Hệ thống tạo báo cáo xác minh và bằng chứng kiểm toán

Microsoft Entra Lifecycle Workflows hỗ trợ tự động hóa các tác vụ offboarding theo ngày nghỉ dự kiến hoặc theo sự kiện chấm dứt tức thời. Tuy nhiên, tự động hóa không loại bỏ nhu cầu kiểm tra các ứng dụng ngoài hệ thống quản trị danh tính hoặc bí mật dùng chung.

Chỉ số kiểm soát quy trình thu hồi quyền

Doanh nghiệp nên theo dõi hiệu quả offboarding bằng các chỉ số có thể kiểm chứng, chẳng hạn:

·         Tỷ lệ trường hợp được thu hồi đúng thời điểm

·         Thời gian từ lúc nghỉ việc có hiệu lực đến khi tài khoản bị vô hiệu hóa

·         Số tài khoản hoặc quyền bị phát hiện còn sót sau kiểm tra

·         Tỷ lệ ứng dụng được tích hợp với hệ thống quản trị danh tính

·         Tỷ lệ trường hợp hoàn thành thu hồi thiết bị

·         Tỷ lệ bí mật dùng chung được luân chuyển đúng yêu cầu

·         Số sự kiện đăng nhập từ tài khoản đã nghỉ việc

·         Tỷ lệ ticket có đầy đủ bằng chứng xác minh

·         Số ngoại lệ chưa xử lý quá thời hạn nội bộ

Ngưỡng thời gian phải được doanh nghiệp xác định theo rủi ro. Đối với chấm dứt đột xuất hoặc tài khoản đặc quyền, mục tiêu phù hợp là cắt quyền ngay tại thời điểm chấm dứt. Đối với tài khoản không còn hoạt động nhưng chưa được báo nghỉ việc, CIS Controls đưa ra ngưỡng tham chiếu 45 ngày không hoạt động để xóa hoặc vô hiệu hóa tài khoản ngủ quên, khi hệ thống hỗ trợ. Ngưỡng này là kiểm soát bổ sung, không thay thế yêu cầu khóa ngay tài khoản của người đã nghỉ việc.

Checklist thu hồi quyền truy cập nhân viên

Trước thời điểm nghỉ việc

·         Xác nhận ngày và giờ cắt quyền

·         Phân loại mức độ rủi ro

·         Lập danh mục tài khoản, ứng dụng và thiết bị

·         Xác định người tiếp nhận dữ liệu

·         Xác định yêu cầu lưu giữ hoặc điều tra

·         Giảm quyền nhạy cảm nếu không còn cần cho bàn giao

Tại thời điểm nghỉ việc

·         Vô hiệu hóa tài khoản định danh trung tâm

·         Chặn đăng nhập mới

·         Đăng xuất khỏi mọi phiên

·         Thu hồi token và phương thức xác thực

·         Xóa khỏi nhóm và vai trò

·         Thu hồi tài khoản đặc quyền

·         Đổi bí mật dùng chung

·         Vô hiệu hóa VPN và quyền truy cập từ xa

·         Thu hồi quyền vật lý

·         Khóa hoặc thu hồi thiết bị

Sau thời điểm nghỉ việc

·         Chuyển giao email và dữ liệu công việc

·         Bảo toàn nhật ký và bằng chứng

·         Kiểm tra các ứng dụng ngoài SSO

·         Xác minh đăng nhập không còn khả dụng

·         Theo dõi hoạt động bất thường

·         Thu hồi hoặc phân bổ lại giấy phép

·         Xóa tài khoản theo chính sách lưu giữ

·         Đóng ticket sau khi có bằng chứng kiểm tra

Quy trình thu hồi quyền dữ liệu hiệu quả phải trả lời được ba câu hỏi: quyền nào cần thu hồi, phải thu hồi vào thời điểm nào và bằng chứng nào xác nhận việc thu hồi đã hoàn tất.

Điểm kiểm soát quan trọng nhất là vô hiệu hóa tài khoản ngay khi quan hệ công việc kết thúc, nhưng doanh nghiệp không nên dừng ở đó. Phiên đăng nhập, token, tài khoản ngoài SSO, bí mật dùng chung, thiết bị, quyền vật lý và quan hệ với bên thứ ba đều có thể trở thành đường truy cập còn sót.

Một quy trình đáng tin cậy cần được kích hoạt từ HR, thực hiện bằng workflow có kiểm soát, ưu tiên tự động hóa, bảo toàn dữ liệu và nhật ký, đồng thời kết thúc bằng bước xác minh độc lập. Khi các bước này được chuẩn hóa, việc thu hồi quyền truy cập nhân viên không còn phụ thuộc vào trí nhớ của từng cá nhân mà trở thành một kiểm soát an ninh có thể đo lường và kiểm toán.