很多公司在員工入職時都會有一些正式的流程，包括存取公司的IT系統，但是當員工離職時這些步驟的逆向安排卻甚少被重視，所以不少已離職員工仍能存取以前工作的資訊，對公司而言，其實存在一定的風險。
為何存取權限會被遺忘
新員工因為工作需要而取得系統的存取權限，經過一段時間後這些權限累積，而且權限通常並非統一發放，如果是直接管理風格可能甚至不會知會IT部門，可能是經由通訊應用程式的對話，又或是文件交換系統的即興創建等等，通常員工離職後存取權限都不會被取消。
以下是IT人員可能忽略權限撤銷的常見例子：
- 公司使用SaaS系統透過員工首次登錄時輸入的用戶名和密碼進行存取，而它並沒有與公司員工名單整合。
- 員工在特定系統分享共用密碼，當一人離職，沒有人想去更改密碼。
- 公司系統容誰利用流動電話號碼進行登入，而一次性密碼透過短訊發送，當離職員工保持該電話號碼時就能繼續登入。
- 存取某些系統時需要與個人帳號綁定，例如公司的社交媒體管理員帳號通常委派給負責人的個人帳號，所以撤銷存取也需要在社交網絡上進行。
- 員工對IT管理的規避行為，員工自行使用或執行的任何系統都必然不符合標準的庫存、密碼控制和其他程序，最常見情況是離職員工仍能更改Google Docs、Trello或Basecamp內的工作、Dropbox或類似服務的分享檔案、以及工作或半工作用的通訊應用程式等等。
不撤銷存取權限的分險
根據員工的職位及部門的情況，不撤銷存取權限可構成以下風險：
- 離職員工的帳號被第三方人士對公司進行網絡攻擊，可以是商用電郵的入侵從而未經授權進入公司系統和盜竊資料，由於員工已離職，帳號的活動可能長時間不被發現，如果帳號使用弱的密碼組合或缺乏雙重登入認證，也令黑客更容易成功，而這些被遺忘的帳號也是網絡犯罪份子的熱門目標。
- 離職員工可能繼續使用帳號以獲得個人利益(存取客戶資料以在新工作中獲利、或利用公司訂閱第三方付費服務)
- 機密資料有機會外洩，無論前員工是故意或無意，都為公司帶來長期風險。
- 如果離職是不歡而散，前員工可能利用存取權限對公司造成傷害。
額外的麻煩
持續追蹤SaaS系統和規避IT行為已相當簡單，但並非所有公司的離職流程都洽當的處理，因而令情況更壞，此外，自由工作者(freelancer)也會帶來風險，如果他們被授予某些存取權限，IT部門很大機會在工作完成後忘記把權限撤銷。分包公司的僱員離職也與自己公司的情況相近，但舊登入憑證則可能交到新入職同事手上，而IT部門可能並不知使用者已更換。對於一些聘請季節性員工或單性是高流失率的崗位，因為簡化操作，通常沒有成熟的中央管理或離職程序，所以不要期望入職和離職時有標準的程序，而這些崗位的員工通常也不太著重登入系統的密碼安全。
行政方面是關鍵
除了IT的技術，行政方面也同樣重要，以下是幾項可明顯降低風險的考量：
- 定期進行審計 – 定決審計以決定員工可存取的內容，過從中應該能找出不再使用、錯誤發出或標準以外的程序，有需要時對它們進行撤銷，審計方面，單純基礎設施的技術分析並不足夠，對僱員工其管理層收集問卷，以尋找規避IT以符合公司政策。
- 離職時HR與IT緊密合作 – 員工離職時應該給予一個離職的會面，除了問及對HR重要的問題，IT相關的問題也應該包含在內，離職程序通常涉及簽署文件，要求離職員工承擔披露或濫用有關資料的責任。另外，離職員工的同事或管理者也應該進行會面，以瞭解他們全部帳號和存取權限。
- 在公司中創建標準角色 – 這考量結合了技術與組織方面，對每個職位和工種製作存取權限模板，在入職時發放並在離職時撤銷，從而達到以角色為基礎的存取權限控制系統，大大簡化IT工作。
從技術的考量以促進存取權限控制和增加整體的資安等級：
- 部署身份和存取管理系統(Identity and Asscess Management System)，以中央化的員工名單採用single sign-on(SSO)方案。
- 資產與庫存追蹤去中央追蹤公司的裝置、工作流動電話號碼。已發出的許可證等等。
- 透過資安工具監察過期帳號，通過設定監察規則去找公司系統內長時間不活躍的帳號，應該定期檢查和關閉有關的帳號。
- 對必需使用共享密碼的補救措施
- 對自由工作者、分包商和季節員工提供具時限性的存取，通常是短期的存取，有需要時再延長或更改。
資料來源：Kaspersky Blog
