Plecarea unui angajat: ce faci cu parolele și conturile firmei și cum te ajută un manager parole

Plecarea unui angajat se pregătește, de obicei, pe partea de resurse umane: decont, laptop, cartelă, chei. Accesul la conturi rămâne pe ultimul loc, deși e partea cu cele mai mari consecințe. Un fost coleg care mai știe parola emailului firmei, a contului de la bancă sau a platformei de facturare nu e neapărat un pericol — dar firma nu mai poate demonstra nimănui că accesul e controlat. Un manager parole ține evidența și face schimbarea ordonată, însă rutina de mai jos funcționează și fără el.

Articolul e despre plecarea unui singur om. Pentru situația mai mare, când se schimbă administratorul unei asociații sau al unei firme, vezi predarea parolelor la schimbarea administratorului.

De ce parolele rămân problema după ce omul a plecat

Un card de acces se ia înapoi. O parolă nu se poate lua înapoi: omul o poartă în cap, într-un caiet, într-un mesaj vechi sau în parolele salvate în browserul lui personal. De aceea regula este simplă: orice parolă pe care a cunoscut-o un om care pleacă se consideră cunoscută și se schimbă. Nu e o acuzație, e igiena firmei.

Al doilea risc e mai puțin vizibil: conturile create pe adresa sau pe telefonul personal al angajatului. Dacă recuperarea contului firmei pornește pe un număr privat, resetarea de parolă ajunge la omul care a plecat.

Pasul 1: faci inventarul înainte de ultima zi

Cât timp omul e încă prezent, îl rogi să listeze conturile pe care le folosește: serviciul, adresa de email cu care e înregistrat, numărul care primește codurile de verificare. Nu cere parolele în listă — lista arată ce există, nu cum se intră. Cele mai frecvente categorii:

• emailul firmei și conturile de pe același domeniu;
• internet banking și conturi de plăți;
• programul de facturare, contabilitatea, accesul la SPV;
• rețele sociale, site, domeniu, găzduire;
• conturi de client la furnizori și platforme comune de lucru.

Dacă accesul la SPV al firmei sau la facturare trecea prin omul care pleacă, merită citit și ghidul SpokInvoice despre SPV și trimiterea e-Facturii, ca să știi ce se schimbă și unde.

Pasul 2: muți pe datele firmei ce stă pe datele lui

Orice cont legat de emailul sau telefonul personal al angajatului se mută pe emailul și telefonul firmei înainte de ultima zi. După plecare, depinzi de bunăvoința lui. Aici apar și cele mai neplăcute surprize: un cont de reclame, un domeniu, un cont de curier deschis „repede, de pe emailul meu" acum doi ani.

Pasul 3: retragi accesul în ordinea corectă

Ordinea contează, pentru că unele conturi sunt cheia altora:

1. emailul firmei — de el depind resetările de parolă ale celorlalte conturi;
2. banca și plățile;
3. conturile de administrare (domeniu, găzduire, facturare, contabilitate);
4. restul: rețele sociale, furnizori, aplicații de lucru.

La fiecare, schimbi parola direct în serviciul respectiv, cu o parolă nouă, generată, nu inventată. Apoi verifici autentificarea în doi pași: pe ce dispozitiv ajung codurile și dacă mai există dispozitive conectate. Un cod care ajunge încă pe telefonul fostului angajat anulează orice parolă nouă. Despre alegerea 2FA și despre mesajele false care profită de perioadele de schimbare, vezi phishing, 2FA și parole unice pentru conturile firmei.

Ce faci dacă plecarea e tensionată

Dacă relația se încheie în conflict, ordinea se inversează: întâi retragi accesul și schimbi parolele, apoi anunți. În același timp, nu șterge nimic din conturi — fișierele și istoricul pot fi necesare mai târziu.

Cum arată asta cu un manager de parole

Dacă parolele firmei sunt împrăștiate prin mesaje și foi de calcul, fiecare plecare cere o căutare de la zero. Un manager de parole aduce evidența într-un singur loc, dar contează cum e construit. În SpokPass, fiecare om are seiful lui, criptat pe dispozitivul lui: din parola master se derivă local, cu Argon2id (64 MiB, 3 iterații), cheia care deschide seiful, iar datele sunt închise cu AES-256-GCM înainte să plece spre server. Serverul primește doar blocuri criptate. Parola master nu pleacă niciodată de pe dispozitiv.

În planul Echipă, organizația are trei roluri: proprietar, administrator și membru. Administratorul poate invita oameni, poate suspenda un cont și vede jurnalul de autentificări (cine a intrat, când — niciodată conținut). El nu poate citi seiful nimănui. Aceasta e limita pe care o spunem deschis: administratorul nu poate „prelua" parolele unui angajat care pleacă. De aceea, parolele conturilor comune ale firmei trebuie ținute într-un seif al firmei, deschis pe emailul firmei și predat cu kitul de recuperare, iar parolele personale de serviciu se schimbă la sursă.

Ce înseamnă suspendarea

Când suspenzi un membru, sesiunile lui deschise se închid și locul plătit se eliberează. Planul Echipă costă 16 lei pe utilizator pe lună sau 160 de lei pe an, fără TVA, de la minim 3 utilizatori, deci un cont suspendat nu mai costă. Suspendarea închide ușa spre SpokPass, nu și conturile pe care omul le cunoștea: acelea se schimbă la sursă, ca la pasul 3.

Ce nu poți cere încă unui manager de parole

Ca să nu te bazezi pe ce nu există: SpokPass nu are încă partajarea parolelor între membri, 2FA pe contul SpokPass, extensie de browser cu completare automată sau audit extern publicat. Pentru conturile comune, procedura rămâne cea de mai sus: seif al firmei, predat prin kit, parole schimbate la sursă.

Lista scurtă pentru ultima zi

• inventarul conturilor e făcut, fără parole în el;
• niciun cont al firmei nu mai e legat de emailul sau telefonul personal al omului;
• emailul firmei, banca și conturile de administrare au parole noi;
• codurile 2FA ajung pe dispozitivele firmei;
• accesul la instrumentele comune e retras și sesiunile sunt închise;
• schimbările sunt notate cu data, pentru dovadă.

Procedura ia o oră la plecare și poate economisi săptămâni de probleme. Dacă firma lucrează cu un ecosistem de instrumente, SpokPass face parte din SpokApp, alături de administrare, facturare și cenzorat.