63% firm ma w swoich systemach aktywne konta byłych pracowników. Techniczna checklista onboardingu i offboardingu: tożsamość, sekrety, sprzęt, licencje.

Konto, które zostało po pracowniku. Onboarding i offboarding od strony IT

Zatrudnienie nowej osoby widzi cała firma. Odejście — tylko kadry. O jednym i o drugim dowiadujemy się zwykle ostatni, mailem o treści „czy da się założyć konto na jutro rano?”. A potem, pół roku później, okazuje się, że handlowiec, który przeszedł do konkurencji, nadal loguje się do systemu z cenami zakupowymi. Nie dlatego, że coś złamał. Dlatego, że nikt mu tego dostępu nie odebrał.

Według raportu Wing Security „State of SaaS Security” aż 63% firm ma w swoich systemach aktywne konta osób, które już tam nie pracują. Badanie Oomnitzy pokazuje drugą stronę tego samego problemu: 68% organizacji nie potrafi z pewnością potwierdzić, że po odejściu pracownika odebrano mu wszystkie dostępy, a w 32% firm pełne wyrejestrowanie trwa dłużej niż tydzień.

To nie jest problem korporacji z tysiącem etatów. W firmie na trzydzieści osób jest gorzej, bo nie ma nikogo, kto miałby to wpisane w zakres obowiązków. Biuro rachunkowe, kancelaria, hurtownia, zakład produkcyjny, przychodnia — mechanizm jest wszędzie ten sam.

Dlaczego onboarding zawsze się jakoś udaje, a offboarding nigdy?

Bo onboarding ma reklamację, a offboarding nie. Jeśli nowy pracownik nie może się zalogować pierwszego dnia, dowiadujesz się o tym w ciągu piętnastu minut. Jeśli były pracownik nadal ma dostęp do systemu, nie dowiaduje się o tym nikt — dopóki ktoś nie postanowi z tego skorzystać.

Ta asymetria jest wbudowana w proces i nie da się jej naprawić dobrymi chęciami. Można ją naprawić checklistą i jedną osobą odpowiedzialną za jej odhaczenie.

Drugi powód jest bardziej przyziemny. Onboarding to jedna akcja („załóż konto”), a offboarding to kilkanaście akcji w kilkunastu miejscach. Konto w systemie, poczta, program handlowy, system kadrowy, bankowość elektroniczna, portal sprzedażowy, panel operatora telefonii, ewidencja sprzętu, klucz do biura, licencje. Każde z nich odbiera się gdzie indziej, a większość nie ma żadnego powiązania z systemem kadrowym.

Marginesu na taki luz już nie ma. Z „Barometru cyberbezpieczeństwa 2026″ KPMG wynika, że 96% badanych organizacji w Polsce odnotowało w 2025 roku co najmniej jeden incydent bezpieczeństwa. To o 13 punktów procentowych więcej niż rok wcześniej i najwyższy wynik w dziewięcioletniej historii badania.

Onboarding to nie „założenie maila”. To sześć warstw dostępu

Konto pracownika nie jest jedną rzeczą. To sześć niezależnych warstw, z których każda ma inny cykl życia i inne miejsce odebrania:

1. Tożsamość — konto firmowe w Microsoft 365, Google Workspace albo w lokalnej domenie, drugi składnik logowania, przypisanie do grup.
2. Urządzenie — laptop, telefon, szyfrowanie dysku, konto lokalne, ewidencja tego, kto co ma.
3. Sieć — zdalny dostęp (VPN), firmowe Wi-Fi, dostęp do zasobów spoza biura.
4. Aplikacje — programy handlowe, magazynowe, CRM, systemy branżowe, chmura. Połowa z nich została kupiona kartą prezesa i nie wie o nich nikt poza jednym działem.
5. Dane — dyski współdzielone, katalogi działowe, skrzynki funkcyjne, archiwa, dokumentacja.
6. Dostępy poza IT — bankowość, portale urzędowe, konta na platformach sprzedażowych, media społecznościowe, klucze i karty do budynku.

Ta ostatnia warstwa jest najczęściej pomijana, bo nikt jej nie uważa za „informatyczną”. A to właśnie tam siedzą dostępy o największych konsekwencjach.

Jeżeli onboarding polega na skopiowaniu uprawnień z konta „takiego jak Kasia”, to po dwóch latach każdy ma uprawnienia każdego. Widziałem firmę, w której handlowiec miał prawo zapisu w katalogu księgowości, bo trzy lata wcześniej ktoś raz potrzebował wyciągnąć jedną fakturę. Nikt tego nie cofnął, bo nikt nie wiedział, że to w ogóle zostało nadane.

Trzy zasady eliminują większość późniejszego bałaganu:

• Uprawnienia wyłącznie przez grupy, nigdy indywidualnie na folderze czy w programie. Odebranie roli to wtedy jedna operacja, a nie tydzień szukania.
• Drugi składnik logowania od pierwszego dnia, nie „jak się wdroży”. Włączenie go po fakcie zawsze robi się projektem. Przed faktem to jedna minuta przy zakładaniu konta.
• Spis dostępów przy zakładaniu konta, nie przy usuwaniu. Jeśli notujesz, co komu dajesz, w momencie dawania, offboarding sprowadza się do odczytania listy. Jeśli nie — jest śledztwem.

To ostatnie brzmi banalnie i jest pomijane najczęściej ze wszystkiego. A to jedyny moment, w którym masz komplet informacji i powód, żeby je zapisać.

Dostępy, których nie widać z konsoli administratora

Największe ryzyko nie siedzi w kontach, które administrator widzi na liście. Siedzi w tych, o których nie wie, że istnieją. Verizon w „Data Breach Investigations Report 2025″ wskazał nadużycie poświadczeń jako wektor początkowy w 22% analizowanych naruszeń, a czynnik ludzki jako obecny w 60% wszystkich przypadków. Loginy i hasła to nadal najprostsza droga do środka.

Lista rzeczy, które wychodzą z firmy razem z człowiekiem, a nie mają nic wspólnego z kontem w domenie:

• dostęp do bankowości elektronicznej i kart płatniczych, często z uprawnieniem podglądu jeszcze długo po odejściu;
• konta na portalach urzędowych — PUE ZUS, e-Urząd Skarbowy, KSeF, platformy przetargowe — zwykle podpięte pod prywatny numer telefonu pracownika;
• konta na platformach sprzedażowych i w panelach integracji, gdzie „wszyscy używają jednego loginu”;
• dostęp do domeny i hostingu, z którego raz w roku ktoś korzysta i nikt nie pamięta, kto;
• profile firmowe w mediach społecznościowych, spięte z prywatnym kontem osoby, która je zakładała;
• jedno wspólne hasło do routera, serwera plików i kamer, znane każdemu, kto kiedykolwiek pracował w firmie;
• telefon służbowy z aplikacją autoryzacyjną, który wraca do firmy z aktywnym powiązaniem do firmowych kont;
• automatyzacje i integracje utworzone przez tę osobę na jej własne konto: raporty wysyłane do zarządu, synchronizacja z magazynem, bot wysyłający SMS-y do klientów;
• w firmach z własnym zespołem technicznym dochodzą jeszcze klucze i tokeny do systemów wdrożeniowych, które przeżywają odejście człowieka o lata.

Punkt z jednym wspólnym hasłem jest najbardziej podstępny. Formalnie nie jest niczyim kontem, więc nie ma właściciela i nie trafia na żadną listę do odebrania. Zostaje w firmie na zawsze i wraz z każdym odejściem robi się coraz bardziej publiczne.

Offboarding: kolejność operacji znaczy więcej niż szybkość

Najczęstszy błąd to skasowanie konta w pierwszej godzinie. Wygląda zdecydowanie, a kończy się utratą danych, zablokowanym dostępem do dokumentów zespołu i mailami od klientów odbijającymi się od nieistniejącej skrzynki przez najbliższy rok.

Drugi najczęstszy błąd to poprzestanie na zmianie hasła. W usługach chmurowych to nie wystarcza, bo raz zalogowana sesja i telefon z zapamiętanym dostępem żyją własnym życiem jeszcze długo po zmianie hasła. Trzeba je unieważnić osobno. W Microsoft 365 służy do tego oddzielna operacja wylogowania ze wszystkich sesji, w Google Workspace przycisk „Sign out user” w panelu administracyjnym.

Kolejność, która działa

1. Wyłącz konto (zablokuj, nie usuwaj) i unieważnij wszystkie aktywne sesje.
2. Usuń metody drugiego składnika i hasła aplikacji. Zapomniane „hasło do aplikacji” w programie pocztowym przeżyje zablokowanie konta w niejednym systemie.
3. Odetnij dostęp zdalny — VPN, pulpit zdalny, dostęp do kamer i systemów spoza biura.
4. Zmień hasła współdzielone, do których osoba miała dostęp. Ten krok wypada z większości procesów, a jest jedynym, który zamyka furtkę bez właściciela.
5. Odbierz dostępy poza IT: bankowość, portale urzędowe, platformy sprzedażowe, profile firmowe, karty i klucze do budynku.
6. Przenieś dane i przekieruj pocztę. Skrzynka zamieniona na współdzieloną i przekazana przełożonemu, pliki przepięte na nowego właściciela.
7. Odbierz sprzęt i wyczyść urządzenia — dopiero po potwierdzeniu, że dane zostały przeniesione.
8. Zwolnij licencje i zamknij konta w programach, które nie są spięte z kontem firmowym.
9. Usuń konto po okresie karencji (zwykle 30–90 dni) i zamknij wpis w rejestrze dostępów.

Punkty 1–4 powinny dziać się w godzinach, nie w dniach, najlepiej równolegle z rozmową w kadrach, a nie po niej. Reszta może iść spokojnie, byle w ogóle szła.

Jest jeszcze jeden krok, o którym prawie nikt nie pamięta: sprawdzenie, co przestanie działać, gdy konto zniknie. Raport, który sam wysyłał się co poniedziałek. Integracja z księgowością. Przypomnienia do klientów. Wszystko to bywa podpięte pod konto konkretnej osoby i pada dopiero miesiąc później, w najgorszym możliwym momencie.

71 kont na 40 pracowników

Rok temu przejmowaliśmy infrastrukturę w firmie produkcyjnej pod Częstochową. Czterdzieści osób, dwie zmiany, spora rotacja na produkcji. Audyt otwarcia pokazał 71 aktywnych kont, z czego ponad połowa nie logowała się od co najmniej pół roku.

Dziewięć z nich miało dostęp do katalogu z dokumentacją techniczną i cenami zakupowymi. Trzy należały do osób, które w międzyczasie zaczęły pracować u bezpośredniej konkurencji. Nikt tego nie sprawdzał, bo nie istniała lista, którą można by sprawdzić. Kadry prowadziły swoją ewidencję w systemie kadrowo-płacowym, a IT „wiedziało na pamięć”.

Uporządkowanie zajęło dwa dni: zestawienie listy zatrudnionych z listą kont, wyłączenie wszystkiego, co nie logowało się ponad 60 dni, przeniesienie zasobów, zmiana trzech haseł współdzielonych. Efektem ubocznym było jedenaście zwolnionych licencji, opłacanych co miesiąc za nieistniejących pracowników. Przy kilkudziesięciu złotych miesięcznie na użytkownika to kilka tysięcy złotych rocznie płacone wyłącznie za nieporządek. Audyt zwrócił się szybciej, niż trwał.

Piszę o tym z perspektywy kogoś, kto od kilku lat prowadzi obsługę informatyczną firm jako ITFast i regularnie przejmuje infrastrukturę po kimś. Konta bez właściciela są w takich przejęciach regułą, nie wyjątkiem. Nie dlatego, że ktoś zawinił. Dlatego, że nikt nie miał tego procesu spisanego.

Konta dostawców i firmowy dług dostępowy

Osobna kategoria problemu to konta, które nie odchodzą z firmą, bo nie należą do pracowników. Firma od kamer, dostawca systemu ERP, serwisant central telefonicznych, poprzedni informatyk. Każdy z nich dostał kiedyś dostęp „na czas wdrożenia” i nikt go nigdy nie odebrał.

Verizon w edycji DBIR z 2026 roku odnotował, że udział podmiotów trzecich w naruszeniach wzrósł o 60% rok do roku i dotyczy już blisko połowy przypadków. Konto zewnętrznego dostawcy, założone przy uruchomieniu systemu i pozostawione bezterminowo, jest dokładnie tym wektorem. Ten sam raport wskazuje korzystanie z narzędzi AI poza kontrolą firmy jako trzecie najczęstsze niezłośliwe działanie pracowników, z czterokrotnym wzrostem rok do roku. Doszła więc kolejna warstwa dostępów, których nie ma na żadnej liście.

Minimalny porządek, który warto zrobić raz i potem utrzymywać:

• każde konto techniczne i dostawcy ma wpisanego właściciela po stronie firmy oraz opis, do czego służy;
• dostępy dla firm zewnętrznych są czasowe, z datą wygaśnięcia, a nie bezterminowe;
• konta techniczne nie są kontami użytkowników i nikt się nimi nie loguje na co dzień;
• przegląd listy raz na kwartał, wpisany do kalendarza, a nie „jak będzie chwila”.

RODO, NIS2 i ankieta bezpieczeństwa od kontrahenta

To już nie jest wyłącznie kwestia porządku. Artykuł 32 RODO wymaga środków ochrony adekwatnych do ryzyka, a nieodebrany dostęp byłego pracownika do danych klientów jest naruszeniem poufności wprost z artykułu 5. Przy ustalaniu wysokości kary UODO bierze pod uwagę między innymi czas trwania naruszenia. Konto, które działało siedem miesięcy po odejściu pracownika, jest właśnie taką okolicznością.

Dla biur rachunkowych, kancelarii i podmiotów medycznych stawka jest jeszcze wyższa, bo w grę wchodzą dane objęte tajemnicą zawodową albo dane szczególnej kategorii. Tam jedno zapomniane konto to nie usterka organizacyjna, tylko realne postępowanie.

Dochodzi do tego NIS2 i jego rozlanie się na łańcuch dostaw. Jeśli obsługujesz większego klienta, prędzej czy później dostaniesz od niego ankietę bezpieczeństwa z pytaniem o proces nadawania i odbierania uprawnień. Odpowiedź „mamy to w mailach” kończy rozmowę szybciej niż jakakolwiek awaria.

Kiedy robimy audyty w ramach usługi bezpieczeństwo IT dla firm w Częstochowie, zestawienie listy kadrowej z listą kont jest pierwszą rzeczą, którą wyciągamy. Przed firewallem, przed antywirusem, przed czymkolwiek innym. To najtańsza kontrola bezpieczeństwa, jaka istnieje, i najczęściej pomijana.

Checklista do skopiowania

Gdy ktoś przychodzi

• Dzień przed pierwszym dniem pracy — załóż konto firmowe i przypisz je do grupy właściwej dla stanowiska. Nie kopiuj uprawnień z konta kolegi z działu, bo skopiujesz też wszystko, co on dostał przez przypadek przez ostatnie pięć lat.
• Dzień przed pierwszym dniem pracy — przygotuj sprzęt: zaszyfrowany dysk, konto bez uprawnień administratora, wpis w ewidencji, kto to urządzenie dostał. Włącz drugi składnik logowania od razu, zanim ktokolwiek zdąży się pierwszy raz zalogować.
• Pierwszego dnia — nadaj dostępy wynikające z roli, a nie „na wszelki wypadek, bo może się przydać”. Wszystko, co nadasz zapasowo, zostanie w firmie na lata.
• Pierwszego dnia — zapisz, co dokładnie tej osobie dałeś i dlaczego. Uwzględnij rzeczy, których nie uważasz za informatyczne: bank, portale urzędowe, klucze i karty do biura.
• Po tygodniu — usiądź na dziesięć minut i sprawdź, czego z nadanych dostępów ta osoba w ogóle nie użyła. Zabierz to teraz. Za rok nikt już nie będzie miał odwagi ich ruszyć.

Gdy ktoś odchodzi

• W ciągu godziny od rozmowy w kadrach — zablokuj konto, wyloguj je ze wszystkich sesji i usuń zapisane metody logowania oraz hasła aplikacji. To jedyny krok, który naprawdę musi się zdarzyć natychmiast.
• W ciągu godziny — odetnij dostęp zdalny i cofnij uprawnienia w bankowości oraz na portalach urzędowych. Te dwa miejsca odbiera się osobno i to zwykle o nich się zapomina.
• Tego samego dnia — zmień hasła współdzielone, które ta osoba znała, i odbierz dostępy do paneli u zewnętrznych dostawców. Jeśli hasło znało pięć osób, nie jest już niczyje.
• Tego samego dnia — przenieś dane, zamień skrzynkę na współdzieloną i ustaw przekierowanie. Klient piszący na stary adres ma dostać odpowiedź, a nie komunikat o błędzie.
• Następnego dnia — odbierz sprzęt, odłącz telefon od firmowych kont i wyczyść urządzenia. Dopiero po potwierdzeniu, że dane zostały już przeniesione.
• Następnego dnia — zwolnij licencje i zamknij konta w programach, które nie są spięte z kontem firmowym. Za te pierwsze płacisz co miesiąc, te drugie po prostu zostają otwarte.
• Po miesiącu — sprawdź, czy coś, co należało do tej osoby, nadal chodzi w tle: cykliczne raporty, integracje, automatyczne powiadomienia do klientów. Zwykle coś się znajdzie.
• Po trzech miesiącach — usuń konto na dobre i zamknij wpis w rejestrze. Wcześniej nie warto, bo do trzeciego miesiąca zawsze ktoś przychodzi po plik, którego nie da się odzyskać z niczego innego.

Trzy rzeczy do zrobienia w tym tygodniu

Nie potrzebujesz projektu wdrożeniowego, żeby ruszyć z miejsca.

Po pierwsze, zestaw listę osób z kadr z listą aktywnych kont w firmowych systemach. Jeśli liczby się nie zgadzają, masz odpowiedź na pytanie, czy ten artykuł jest o Twojej firmie.

Po drugie, wyłącz wszystko, co nie logowało się od 60 dni. Nie usuwaj — wyłącz. Jeśli coś okaże się potrzebne, dowiesz się w ciągu doby, a ryzyko spada od razu.

Po trzecie, spisz hasła współdzielone i konta, które nie mają właściciela. Samo powstanie tej listy zwykle wystarcza, żeby połowa z nich zniknęła w ciągu miesiąca.

Onboarding i offboarding to jeden proces, nie dwa. Różnią się kierunkiem i tym, że o błędach w pierwszym dowiadujesz się natychmiast, a o błędach w drugim — zwykle wtedy, gdy jest już za późno.