En ny medarbejder skal kunne arbejde effektivt fra første dag. Men hvis adgang til systemer, data og enheder oprettes hurtigt uden faste rammer, kan den samme proces skabe unødige sikkerhedshuller. Derfor er spørgsmålet om, hvordan skaber man sikker medarbejder onboarding, ikke kun et IT-spørgsmål. Det handler om at beskytte driften uden at gøre en ny kollegas start besværlig.
Den gode løsning ligger sjældent i flere manuelle kontroller alene. Den ligger i en fælles proces, hvor HR, leder, IT og medarbejderen selv ved, hvad der skal ske, hvornår det skal ske, og hvem der har ansvaret. Når processen er gennemtænkt, bliver sikkerhed en naturlig del af velkomsten frem for en forhindring.
Sikker onboarding starter, før medarbejderen møder ind
Mange virksomheder begynder onboarding, når den nye medarbejder sidder klar med sin computer. På det tidspunkt er der ofte travlt, og adgange bliver oprettet på baggrund af antagelser eller gamle skabeloner. Det øger risikoen for, at medarbejderen får adgang til mere, end rollen kræver.
Start i stedet med et kort og ensartet bestillingsforløb, så snart ansættelsen er bekræftet. Den nærmeste leder bør beskrive rolle, afdeling, arbejdssted, startdato, behov for udstyr og de konkrete systemer, medarbejderen skal bruge. IT skal omsætte behovet til de rette adgangsgrupper, mens HR sikrer, at ansættelsesforhold, kontaktoplysninger og nødvendige erklæringer er på plads.
Det afgørende er, at adgang tildeles ud fra funktion frem for personlige ønsker eller hurtige genveje. En økonomimedarbejder, en projektleder og en ekstern konsulent har forskellige behov, også selv om de arbejder i samme team. Rollebaseret adgang gør det lettere at give præcise rettigheder – og at fjerne dem igen, når rollen ændrer sig.
Brug mindste privilegium i praksis
Princippet om mindste privilegium betyder, at medarbejderen kun får de adgange, der er nødvendige for at løse sit arbejde. Det lyder enkelt, men kræver, at virksomheden tør udfordre standarden om at give bred adgang fra begyndelsen.
Det kan føles ineffektivt, hvis en medarbejder senere skal have én ekstra rettighed. Alternativet kan dog være langt mere kostbart: Følsomme personoplysninger, økonomidata eller kundeinformation bliver tilgængelige for personer, der ikke har et arbejdsbetinget behov. Særligt i virksomheder med flere lokationer, følsomme fagområder eller mange cloudtjenester bør adgange være tydeligt afgrænsede og dokumenterede.
I nogle roller er bredere adgang legitim. En IT-administrator eller økonomichef kan have behov for flere systemer end andre. Men også her bør adgangen være opdelt, så almindeligt dagligt arbejde og privilegerede administrative opgaver ikke foregår fra den samme konto.
Hvordan skaber man sikker medarbejder onboarding med klare ansvar?
Sikker onboarding går ofte galt i overleveringen mellem afdelinger. Lederen forventer, at IT kender behovet. IT antager, at HR har bekræftet startdatoen. HR tror, at lederen har gennemgået sikkerhedspolitikkerne. Resultatet er enten manglende adgange, for brede adgange eller en medarbejder, der aldrig får den nødvendige introduktion.
En enkel ansvarsmatrix kan forebygge meget. HR ejer de ansættelsesrelaterede oplysninger. Lederen ejer behovet og godkender adgange. IT leverer udstyr, identitet, konti og sikkerhedsopsætning. Medarbejderen accepterer politikker og lærer de vigtigste arbejdsgange. Når rollerne er kendte, bliver det også nemmere at følge op, hvis noget mangler.
Processen skal have en tydelig ejer. I mindre virksomheder kan det være en driftsansvarlig eller HR-leder i tæt samarbejde med IT-partneren. I større organisationer kan ansvaret ligge i HR Operations eller IT Service Management. Det centrale er ikke titlen, men at én funktion løbende ser på, om processen faktisk bliver fulgt.
Automatisering kan være en stor hjælp, når grundlaget er på plads. Med integration mellem HR-system, identitetsstyring og IT-serviceplatform kan konti, grupper og standardsoftware oprettes på det rette tidspunkt. Men automatisering af en uklar proces flytter blot fejlene hurtigere gennem organisationen. Beslutninger om roller, godkendelser og undtagelser skal derfor være på plads først.
Gør identitet og enheder til en del af samme forløb
En brugeridentitet er nøglen til virksomhedens digitale hverdag. Den giver adgang til mail, dokumenter, samarbejdsplatforme, fagsystemer og ofte også eksterne tjenester. Derfor bør oprettelse af konto, stærk adgangskodepolitik og multifaktorgodkendelse være klar, før medarbejderen tager systemerne i brug.
Multifaktorgodkendelse er ikke længere en særlig foranstaltning for få udvalgte systemer. For de fleste organisationer bør den være standard, især for e-mail, fjernadgang, cloudtjenester og administrative konti. Det giver dog kun værdi, hvis den nye medarbejder får en rolig og konkret introduktion til, hvordan godkendelsen fungerer, hvad man gør ved ny telefon, og hvem man kontakter ved problemer.
Computer, mobiltelefon og eventuelt hjemmearbejdsudstyr skal leveres med en ensartet sikkerhedsopsætning. Det omfatter opdateringer, kryptering, skærmlås, sikkerhedsværktøjer og mulighed for central administration. Enheden bør være klar til brug, men ikke så låst, at medarbejderen må finde uofficielle arbejdsgange for at kunne løse sine opgaver.
Her afhænger niveauet af virksomhedens risikobillede. En medarbejder i en kommune, finansfunktion eller sundhedsnær organisation kan have skærpede krav til data og enheder. En mindre handelsvirksomhed vil ofte kunne arbejde med en enklere model. Fælles for begge er behovet for at vide, hvor data må gemmes, hvilke tjenester der må bruges, og hvordan udstyr håndteres uden for kontoret.
Introduktion til sikker adfærd skal være konkret
Den første uge er et godt tidspunkt at skabe vaner. Det er ikke nok at sende en lang sikkerhedspolitik som bilag til en velkomstmail. Nye medarbejdere har fokus på mange ting, og generelle regler bliver hurtigt glemt, hvis de ikke kobles til den konkrete hverdag.
En god sikkerhedsintroduktion forklarer blandt andet, hvordan man genkender mistænkelige e-mails, deler dokumenter korrekt, håndterer fortrolige oplysninger og melder en fejl eller mistanke. Den bør også gøre det legitimt at spørge. En medarbejder, der er i tvivl om en e-mail eller et system, skal ikke være bange for at kontakte IT-supporten.
Det virker bedst med korte, relevante eksempler fra medarbejderens arbejdsdag. For en sælger kan det handle om sikker deling af tilbudsmateriale. For en medarbejder i administrationen kan det handle om behandling af personoplysninger. For en leder kan det handle om godkendelse af adgang og beskyttelse af fortrolige dokumenter. Sikkerhed bliver lettere at efterleve, når den giver mening i konteksten.
Følg op efter den første arbejdsdag
Onboarding er ikke færdig, når computeren er udleveret. De første 30 til 90 dage er ofte der, hvor medarbejderen opdager nye behov, skifter opgaver eller får adgang til projekter og systemer, som ikke var kendt ved ansættelsen. Det er normalt, men det skal ske kontrolleret.
En kort opfølgning mellem leder, medarbejder og IT kan afklare, om adgange er passende, om udstyret fungerer, og om der er opstået behov for ændringer. Samtidig kan virksomheden fjerne midlertidige rettigheder, der ikke længere er nødvendige. Denne type adgangsrevision er særligt værdifuld, når medarbejdere arbejder på tværs af afdelinger eller skifter roller internt.
Dokumentation spiller også en praktisk rolle. Virksomheden bør kunne se, hvem der har godkendt adgang, hvilke enheder der er udleveret, og hvilke sikkerhedskrav medarbejderen har modtaget. Det er en hjælp ved revision, men lige så meget en hjælp i den daglige drift, når en leder eller supportmedarbejder skal forstå en tidligere beslutning.
Se onboarding og offboarding som samme sikkerhedsproces
Den mest oversete del af sikker onboarding er, at den skal kunne afsluttes ordentligt. Hvis virksomheden ikke har styr på, hvilke konti, enheder og adgangsgrupper der blev tildelt ved start, bliver det vanskeligt at lukke dem rettidigt, når medarbejderen fratræder eller ændrer rolle.
Derfor bør onboarding og offboarding bygge på de samme roller, systemer og dokumentation. Når adgangen er tildelt struktureret, kan den også fjernes struktureret. Det reducerer risikoen for tidligere medarbejdere med aktive konti og gør det lettere at beskytte kunder, data og interne processer.
For mange organisationer er den rette model en kombination af klare interne ansvar og en IT-partner, der kan hjælpe med identitetsstyring, enhedsadministration og løbende sikkerhedsdrift. Azend arbejder netop med at gøre tekniske sikkerhedskrav konkrete i virksomhedens hverdag, så løsningen passer til både arbejdsgange og risikoniveau.
En ny medarbejder skal mærke, at virksomheden har styr på rammerne – ikke føle, at sikkerhed står i vejen for arbejdet. Når adgang, udstyr, introduktion og opfølgning hænger sammen, giver onboarding både en bedre start og et mere trygt fundament for resten af ansættelsen.
