Bezpečnostní kontrolní seznam pro onboarding zaměstnanců: Kompletní průvodce pro IT týmy

Každý nový zaměstnanec potřebuje desítky účtů, přístupových oprávnění a přihlašovacích údajů. Když tento proces uspěcháte, vzniknou bezpečnostní mezery, které přetrvají měsíce -- nebo dokud je neodhalí únik dat. Posílání dočasných hesel přes přímé zprávy ve Slacku, stejné výchozí heslo pro všechny nováčky nebo odkládání nastavení 2FA jsou běžné chyby s vážnými následky.

Tento průvodce nabízí praktický bezpečnostní kontrolní seznam krok za krokem pro onboarding nových zaměstnanců.

Příprava před nástupem (D-3 až D-1)

Zřízení účtů

Všechny potřebné účty připravte ještě před prvním pracovním dnem zaměstnance.

Položka	Podrobnosti	Priorita
E-mailový účet	Vytvořit e-mail na firemní doméně	Nezbytné
Slack/Teams	Vytvořit účet v pracovním prostoru	Nezbytné
Cloudové úložiště	Přístup ke složkám na Google Drive/OneDrive	Nezbytné
Řízení projektů	Účet v Jira/Notion/Asana	Vysoká
Přístup k VPN	Přihlašovací údaje pro vzdálený přístup přes VPN	Je-li potřeba
Repozitář zdrojového kódu	Pozvánka do GitHub/GitLab	Vývojáři

Příprava zařízení

• Aplikujte firemní bezpečnostní politiku na notebook/desktop
• Zapněte šifrování celého disku (BitLocker/FileVault)
• Nainstalujte software pro ochranu koncových zařízení
• Nastavte automatické zamykání obrazovky (1 minuta)
• Nastavte možnost vzdáleného vymazání (MDM)
• Předinstalujte potřebné aplikace

První den (D-Day)

Krok 1: Seznámení se zásadami hesel

Požadavky na hesla probírejte první den bez výjimky.

Minimální požadavky:

• Délka: 12 znaků nebo více
• Složení: velká a malá písmena, číslice, speciální znaky
• Zakázáno: jména, data narození, řady čísel, slova ze slovníku
• Bez opakování: předchozí hesla nelze znovu použít
• Obměna: změna každých 90 dní

Zavedení správce hesel:

• Nasaďte firemní správce hesel (1Password Business, Bitwarden)
• Všechny přihlašovací údaje k pracovním účtům ukládejte do správce
• Zapamatovat si je potřeba jen hlavní heslo
• Zapněte nouzový přístup pro IT administrátory

Krok 2: Nastavení dvoufaktorového ověření (2FA)

Nastavte 2FA u všech klíčových účtů hned první den.

Účet	Metoda 2FA	Priorita
E-mail	Ověřovací aplikace (Google Authenticator, Authy)	Nezbytné
Slack/Teams	Ověřovací aplikace	Nezbytné
Cloudové úložiště	Ověřovací aplikace	Nezbytné
VPN	Hardwarový klíč (YubiKey) nebo ověřovací aplikace	Nezbytné
GitHub/GitLab	Ověřovací aplikace nebo hardwarový klíč	Vývojáři
Administrátorské panely	Doporučen hardwarový klíč	Administrátorské role

Důležité: Pokud je to možné, vyhněte se 2FA přes SMS -- je zranitelné vůči útokům SIM swap. Ověřovací aplikace nebo hardwarové klíče jsou výrazně bezpečnější.

Krok 3: Bezpečné předání počátečních přihlašovacích údajů

Bezpečné předání dočasných přihlašovacích údajů je zásadní.

Co NEDĚLAT:

• Posílat hesla přes Messenger nebo přímé zprávy ve Slacku
• Uvádět hesla ke všem účtům v jednom e-mailu
• Psát hesla na lepicí papírky
• Používat pro všechny nováčky stejné výchozí heslo

Co DĚLAT:

• Sdílejte počáteční hesla přes poznámky na LOCK.PUB chráněné heslem (platnost 24 hodin, Pro)
• Vynuťte změnu hesla při prvním přihlášení
• Pro každou službu použijte jiné dočasné heslo
• Odkaz na poznámku pošlete e-mailem, přístupové heslo sdělte osobně nebo po telefonu

První týden (D+1 až D+7)

Školení bezpečnostního povědomí

Základní bezpečnostní školení proveďte během prvního týdne.

Povinná témata:

1. Rozpoznání phishingu: Jak poznat podezřelé e-maily, odkazy a přílohy
2. Správa hesel: Jak používat firemní správce hesel
3. Zabezpečení zařízení: Zamykání obrazovky, šifrování disku, postup při ztrátě zařízení
4. Klasifikace dat: Zacházení s důvěrnými, interními a veřejnými daty
5. Hlášení incidentů: Jak a kdy hlásit bezpečnostní obavy

Nastavení řízení přístupu

Při udělování přístupu uplatňujte princip nejnižších oprávnění.

Role	Rozsah přístupu	Úroveň oprávnění
Řadový zaměstnanec	Pouze zdroje týmu	Čtení/zápis
Vedoucí týmu	Zdroje týmu i napříč týmy	Čtení/zápis/správa
IT administrátor	Všechny systémy	Plná administrátorská práva
Externí dodavatel	Pouze konkrétní projekt	Jen pro čtení

Zásady:

• Začněte s minimálním přístupem a přidávejte podle potřeby
• Každé udělení přístupu zdokumentujte i s odůvodněním
• Čtvrtletně kontrolujte a odebírejte zbytečná oprávnění

Průběžné sledování

Kontrola po 30 dnech

Třicet dní po nástupu proveďte bezpečnostní kontrolu.

• Všechna počáteční hesla byla změněna
• 2FA je aktivní u všech požadovaných služeb
• Neexistují žádná zbytečná přístupová oprávnění
• Správce hesel se používá správně
• Bezpečnostní školení bylo absolvováno
• Nebyly nahlášeny žádné bezpečnostní incidenty

Čtvrtletní audit

• Zkontrolujte přístupová oprávnění a odeberte ta zbytečná
• Ověřte dodržování pravidelné obměny hesel
• Projděte záznamy bezpečnostních incidentů
• Ověřte, že účty odešlých zaměstnanců jsou okamžitě deaktivovány

Využití LOCK.PUB při onboardingu

LOCK.PUB zjednodušuje bezpečné předávání počátečních přihlašovacích údajů při onboardingu.

• Poznámky chráněné heslem: Předávejte dočasná hesla s omezenou platností (Pro)
• Chatovací místnosti chráněné heslem: Bezpečný komunikační kanál mezi IT podporou a nováčky
• Sledování přístupu: Zjistěte, zda si nový zaměstnanec přihlašovací údaje otevřel

Ukázkový postup

1. Pro přihlašovací údaje ke každé službě vytvořte samostatnou poznámku chráněnou heslem (platnost 24 hodin, Pro)
2. Odkazy na poznámky pošlete na firemní e-mail nováčka
3. Přístupová hesla sdělte osobně během úvodní orientace
4. Nováček si přihlašovací údaje otevře a hesla okamžitě změní
5. Po vypršení platnosti se odkazy na poznámky přestanou otevírat -- v e-mailu nezůstanou použitelné přihlašovací údaje

Bezpečnostní kontrolní seznam pro offboarding

Bezpečnost onboardingu není úplná bez bezpečného offboardingu.

• Okamžitě deaktivujte/odstraňte všechny účty
• V případě potřeby nastavte přeposílání e-mailů
• Okamžitě změňte všechna sdílená hesla
• Okamžitě zrušte přístup k VPN a vzdálený přístup
• Vyberte a vymažte firemní zařízení
• Odeberte přístup ke cloudovému úložišti
• Odeberte přístup k repozitářům zdrojového kódu
• Vyberte fyzické přístupové karty a odznaky
• Zkontrolujte a zrušte přístupy ke službám třetích stran

Závěr

Onboarding postavený na bezpečnosti posiluje celou organizaci. Od zřízení účtů přes zásady hesel, nastavení 2FA a bezpečnostní školení až po řízení přístupu -- na každém kroku záleží. Neposílejte dočasná hesla přes chatovací aplikace ani e-mailem. Používejte nástroje s omezenou platností a ochranou heslem, aby byly přihlašovací údaje předány bezpečně a nezůstávaly v historii komunikace.

Vytvořte si na LOCK.PUB poznámku chráněnou heslem pro onboarding dalšího nového zaměstnance.

Vytvořit tajnou poznámku →