Jak chránit data zaměstnanců na HR a mzdových SaaS platformách

Pokud vaše firma používá BambooHR, Gusto, Workday nebo Rippling pro HR a mzdy, už víte, jak pohodlná může být cloudová správa lidských zdrojů. S pohodlím ale přichází skryté náklady: nejcitlivější data všech vašich zaměstnanců se nacházejí na jednom místě, přístupná přes prohlížeč.

Co HR platformy skutečně uchovávají

To je poklad pro útočníky — a obrovská odpovědnost pro zaměstnavatele.

Jak vlastně dochází k úniku dat zaměstnanců

1. Sdílené administrátorské přihlašovací údaje

Když HR manažer odejde na dovolenou nebo dá výpověď, někdo potřebuje přístup. Příliš často je řešením poslat heslo přes WhatsApp nebo ho napsat na lístek. Jedno kompromitované vlákno zpráv a data celé pracovní síly jsou odhalena.

2. Mzdové reporty odesílané e-mailem

Finanční týmy běžně posílají mzdové přehledy účetním nebo finančním ředitelům e-mailem. Jeden špatný příjemce, jedno přeposlané vlákno a údaje o platech celé firmy jsou venku — nezašifrované, nechráněné, bez možnosti odvolání.

3. Sdílení s externími účetními

Sdílení daňových dokumentů nebo souborů se mzdovými údaji s externími účetními obvykle znamená připojení tabulek k e-mailům. Žádné šifrování, žádné řízení přístupu, žádná expirace.

4. Zastaralý přístup po odchodu ze zaměstnání

Bývalí zaměstnanci, bývalí dodavatelé, bývalí stážisti — pokud jim přístup k HR platformě není odebrán v den odchodu, mohou stále procházet osobní údaje všech z domova.

Bezpečnostní kontrolní seznam pro HR data

Kontrolujte tyto body čtvrtletně:

• MFA povoleno na všech administrátorských účtech HR a mezd
• Logy přístupu administrátorů kontrolovány měsíčně
• Proces okamžitého odebírání přístupu odcházejícím zaměstnancům
• Šifrování všech exportovaných mzdových dat
• Přístup třetích stran (účetní, makléři) omezen na minimálně potřebná data
• Řízení přístupu na základě rolí — žádné sdílené účty „super admin"

Bezpečnější způsoby sdílení citlivých dat zaměstnanců

Používejte řízení přístupu na základě rolí (RBAC)

Přestaňte dávat všem hlavní klíč. Většina HR platforem podporuje podrobné role: správce mezd, přehled náboru, správce benefitů. Používejte je.

Zapněte auditní logování

Vězte, kdo k čemu a kdy přistupoval. Pokud se něco pokazí, potřebujete stopu. Většina podnikových HR nástrojů to nabízí — ujistěte se, že je to zapnuté.

Používejte odkazy chráněné heslem pro externí sdílení

Když potřebujete poslat mzdové údaje svému účetnímu, nepřipojujte prostě tabulku k e-mailu. Použijte LOCK.PUB k vytvoření poznámky nebo odkazu chráněného heslem s datem expirace (Pro). Heslo sdílejte jiným kanálem (například telefonním hovorem), takže i kdyby byl e-mail zachycen, data zůstanou v bezpečí.

Bezpečné předání přihlašovacích údajů

Při předávání administrátorského přístupu HR novému členu týmu použijte jednorázovou tajnou poznámku na LOCK.PUB (Pro) místo posílání hesel přes WhatsApp nebo Slack. Jakmile ji příjemce přečte, odkaz už nepůjde znovu otevřít — žádné přetrvávající přihlašovací údaje v historii chatu.

Na souladu s předpisy záleží

V závislosti na vaší jurisdikci může nesprávné zacházení s daty zaměstnanců vyvolat vážné sankce:

I když jste 20členný startup, tato pravidla platí i pro vás.

Tři kroky, které udělejte ještě dnes

1. Zapněte MFA — Aktivujte dvoufaktorové ověření na každém HR a mzdovém administrátorském účtu hned teď
2. Proveďte audit odchozích uživatelů — Zkontrolujte, že všem, kdo odešli za posledních 6 měsíců, byl plně odebrán přístup
3. Změňte způsob sdílení — Přestaňte posílat citlivé soubory e-mailem. Použijte LOCK.PUB k odesílání odkazů chráněných heslem s expirací

Data zaměstnanců jsou vaší největší odpovědností i největším rizikem. Zacházejte s nimi podle toho.