Offboarding · Dokumentation

Eine Person sauber entfernen, über ihre Tresore entscheiden und die Zugangsdaten finden, die sie gesehen hat.

Ein Konto zu deaktivieren stoppt künftige Zugriffe. Aber wer geht, besitzt vielleicht einen persönlichen Arbeitstresor, ist Verantwortlicher gemeinsamer Tresore und hat Passwörter gesehen, die noch gültig sind. Die Seite Offboarding erledigt all das in einem Schritt.

Ein Offboarding durchführen

Öffnen Sie System → Offboarding oder wählen Sie Benutzer offboarden neben einem Konto in der Benutzerliste. Vaultigen schließt erst ab, wenn zwei Arten von Entscheidungen getroffen sind:

Jeder persönliche Arbeitstresor der Person:
- In einen gemeinsamen Tresor umwandeln: alle Einträge und Ordner bleiben erhalten; Sie benennen einen neuen Verantwortlichen und Manager.
- Archivieren: aufbewahren, eingefroren.
- Zur Löschung vormerken: jetzt einfrieren; nach der Aufbewahrungsfrist wird er endgültig gelöscht.
Jeder gemeinsame Tresor, dessen Verantwortlicher die Person ist, erhält einen neuen Verantwortlichen. Ein Tresor kann nie ohne bleiben.

Beim Absenden wird das Konto deaktiviert, und alle Sitzungen, vertrauenswürdigen Geräte und Reset-Tokens werden in derselben Transaktion widerrufen. Jede Entscheidung wird im Audit-Log festgehalten.

Zu ändernde Zugangsdaten

Einen Zugriff zu entziehen lässt niemanden ein gesehenes Passwort vergessen. Vaultigen verfolgt deshalb, welche Einträge eine Person angezeigt hat, und der Offboarding-Bericht listet sie als zu ändernde Zugangsdaten: Eintragstitel, Tresor, Typ und wann er zuletzt angezeigt wurde. Nie den Wert.

Die Liste zeigt, was Vaultigen ausgeliefert hat, nicht ob die Person es kopiert hat. Betrachten Sie jeden gelisteten Eintrag als möglicherweise offengelegt.

Externe Zugangsdaten ändern

Dasselbe Vorgehen gilt nach einem Offboarding oder einer Notfallsitzung:

Gruppieren Sie die betroffenen Einträge nach dem externen System, zu dem sie gehören.
Ändern Sie die Zugangsdaten zuerst im externen System und aktualisieren Sie danach den Vaultigen-Eintrag. So funktioniert das alte Passwort nicht mehr, bevor das neue gespeichert ist.
Widerrufen Sie bei API-Schlüsseln und Tokens den alten Wert, statt nur einen neuen hinzuzufügen.
Dokumentieren Sie, was Sie geändert haben, und notieren Sie, was sich nicht ändern ließ.
Hat die Person die Admin-Zugangsdaten der Installation selbst angezeigt, setzen Sie auch diese zurück und behandeln Sie den Vorgang als kompromittierten Admin.