Consapevolezza Joiner-Mover-Leaver

Cos’è Consapevolezza Joiner-Mover-Leaver?

Ogni volta che qualcuno entra nella tua azienda, cambia ruolo o se ne va, i suoi permessi di accesso devono cambiare di conseguenza. Quando questo processo si interrompe, le conseguenze sono serie: ex dipendenti mantengono l'accesso a sistemi sensibili, il personale trasferito accumula permessi di cui non ha più bisogno, e i neoassunti aspettano giorni per gli strumenti necessari trovando nel frattempo soluzioni alternative che aggirano i controlli di sicurezza. Questa simulazione ti colloca in tre scenari distinti. Nel primo, fai l'onboarding di un neoassunto e devi determinare il livello di accesso corretto per il suo ruolo senza concedere più del necessario. Nel secondo, gestisci un trasferimento laterale in cui un dipendente passa dalla finanza al marketing e dovrebbe perdere l'accesso ai sistemi finanziari che non utilizza più. Nel terzo, gestisci una partenza in cui l'ultimo giorno del dipendente è domani e devi coordinare la revoca delle credenziali, la restituzione dei dispositivi e il passaggio di consegne degli account condivisi. Ogni scenario include complicazioni realistiche: un responsabile che richiede eccezioni, un dipendente in partenza che ha inoltrato file alla propria email personale, e un neoassunto che necessita di accesso d'emergenza al sistema di un cliente il primo giorno.

Cosa imparerai in Consapevolezza Joiner-Mover-Leaver

• Assegnare l'accesso ai nuovi dipendenti basandosi sulle autorizzazioni appropriate al ruolo senza ricorrere al default "uguale all'ultima persona in questo ruolo"
• Rimuovere i permessi obsoleti quando i dipendenti cambiano ruolo, applicando il principio che i trasferimenti di accesso non sono cumulativi
• Eseguire la revoca degli accessi di offboarding su tutti i sistemi, inclusi account condivisi, servizi cloud e accesso fisico entro le tempistiche richieste
• Identificare le soluzioni alternative e le eccezioni comuni che creano deriva degli accessi, come credenziali condivise e permessi ad hoc concessi dai responsabili
• Coordinarsi tra HR, IT e responsabili di dipartimento per assicurare che non vi siano lacune tra l'approvazione del cambio di ruolo e l'effettiva modifica degli accessi

Consapevolezza Joiner-Mover-Leaver — Fasi della formazione

1. Un nuovo ruolo a Crestfield

   Ogni transizione di ruolo comportava modifiche all'accesso al sistema, ma tali modifiche sono sempre state gestite correttamente?

2. La notifica di formazione JML

   Come parte della transizione del suo ruolo, Alice riceve un'e-mail sulla formazione di sensibilizzazione su Joiner-Mover-Leaver (JML) richiesta. Questa formazione è obbligatoria per tutti i dipendenti che hanno recentemente cambiato ruolo.

3. Accesso al portale IAM

   Si apre il portale Identity and Access Management (IAM). Questo sistema centralizzato gestisce l'accesso di tutti i dipendenti durante tutto il loro ciclo di vita presso Crestfield. Alice utilizza il suo gestore di password per accedere in modo sicuro.

4. Comprendere JML

   Il portale di formazione visualizza una panoramica del ciclo di vita Joiner-Mover-Leaver. Esaminiamo ogni fase del percorso di accesso dei dipendenti.

5. I rischi di un JML scadente

   Il portale evidenzia le conseguenze reali di una gestione impropria degli accessi. Ogni rischio rappresenta una lacuna di sicurezza comune che gli aggressori sfruttano attivamente.

6. Un vero esempio di violazione

   La formazione condivide un caso di studio del settore assicurativo: Caso: violazione di account orfani Una compagnia di assicurazioni non è riuscita a revocare l'accesso a un perito che si è dimesso. Tre mesi dopo, gli aggressori hanno acquistato le credenziali dell'ex dipendente da un mercato del dark web (da una violazione di dati non correlata in cui il dipendente ha riutilizzato la propria password di lavoro). Utilizzando l'account ancora attivo, gli aggressori hanno avuto accesso a 50.000 record di clienti per diverse settimane prima del rilevamento. Causa principale: nessun processo JML automatizzato: le risorse umane hanno informato l'IT tramite e-mail, cosa che non è stata fatta.

7. Le tue responsabilità JML

   Il portale mostra le tue responsabilità come dipendente durante gli eventi JML: Come Mover (transizione di ruolo): Informa il tuo manager di eventuali accessi non più necessari Completa tempestivamente le revisioni della certificazione di accesso Segnala se hai ancora accesso ai vecchi sistemi dopo la transizione Non utilizzare mai il vecchio accesso 'per ogni evenienza': richiedi correttamente l'accesso temporaneo Aiutare i colleghi: Se un collega in partenza chiede di 'usare il tuo accedi', rifiutalo e segnalalo Se noti che un ex dipendente ha ancora accesso, segnalalo all'IT Non condividere mai le credenziali durante il trasferimento delle conoscenze

8. Responsabilità del manager

   La formazione spiega cosa devono fare i manager durante gli eventi JML: Per gli iscritti: Invia richieste di accesso prima della data di inizio Specificare solo l'accesso necessario per il ruolo Esamina e approva l'accesso fornito Per i traslocatori: Verifica l'accesso corrente e richiedi la rimozione delle autorizzazioni non necessarie Invia nuove richieste di accesso per i nuovi requisiti del ruolo Completa la transizione entro 5 aziende giorni Per chi lascia: Informare immediatamente le risorse umane e l'IT in caso di dimissioni/cessazione Assicurarsi che il trasferimento delle conoscenze avvenga senza condivisione delle credenziali Verificare che la revoca dell'accesso sia completa prima dell'ultimo giorno

9. Il tuo stato di accesso

   Nell'ambito della transizione del tuo ruolo, il portale mostra il tuo stato di accesso attuale: Accesso in fase di rimozione (ruoli precedenti): Sistema di elaborazione delle richieste (lettura/scrittura) - Revocato Coda di approvazione delle richieste (Approvatore) - Revoca Portale di sottoscrizione (Accesso completo) - Contrassegnato per la rimozione Motore di classificazione delle politiche (Analista) - Contrassegnato per la rimozione Accesso in fase di concessione (Nuovo Ruolo): Dashboard dei rischi aziendali (analista) - In attesa di approvazione Sistema di valutazione dei rischi (analista senior) - In attesa di approvazione Portale di reporting normativo (visualizzatore) - In attesa di approvazione

10. Accesso contrassegnato che richiede azione

    Il portale evidenzia gli accessi che richiedono la tua conferma: Portale di sottoscrizione (accesso completo) Hai avuto pieno accesso dal tuo ruolo di sottoscrizione. Il tuo manager ha contrassegnato questo elemento per la rimozione, ma il sistema ha rilevato che ne hai effettuato l'accesso la settimana scorsa. Domanda: hai ancora bisogno di questo accesso per il tuo nuovo ruolo? Alice riflette: il suo nuovo ruolo in Enterprise Risk non richiede l'accesso diretto alla sottoscrizione. Può richiedere l'accesso temporaneo in sola lettura, se necessario per progetti specifici.