Dostawca z dostępem „na chwilę” często zostaje na lata. Ta lista jest do uzupełnienia przed pierwszym logowaniem i przy każdym przedłużeniu.
Zanim dasz dostęp
- Jest imienne konto (nie wspólne hasło w mailu)
- Jest właściciel po Twojej stronie (kto zatwierdza i kto odbiera)
- Jest zakres: które systemy, które dane, czy produkcja
- Jest data końca albo warunek końca („po wdrożeniu X”)
- Jest uzgodniony kanał (VPN / broker / RDP za MFA) — nie „AnyDesk na stałe bez logów”
- Dostawca wie, czego nie wolno (kopiowanie baz, instalacja narzędzi bez zgody)
Podczas współpracy
- MFA włączone na koncie dostawcy
- Uprawnienia minimalne (nie Domain Admin „bo tak szybciej”)
- Logowanie da się przypisać do osoby (nie wspólne „serwis”)
- Lista aktywnych sesji / urządzeń jest sprawdzana przy dłuższych projektach
- Zmiany w produkcji mają krótką notatkę (kto, kiedy, co)
Offboarding
- Konto wyłączone tego samego dnia co koniec umowy / projektu
- Usunięte z grup VPN, RDP, paneli, skrzynek współdzielonych
- Unieważnione tokeny API, klucze SSH, passkeys, aplikacje OAuth
- Odebrane urządzenia / certyfikaty, jeśli były
- Sprawdzone reguły przekierowania poczty i filtry ustawione przez dostawcę
- Hasła serwisowe zmienione, jeśli były współdzielone (i zaplanowane wycofanie współdzielenia)
Sygnały ostrzegawcze
- dostęp bez daty końca
- jeden login dla całej firmy dostawcy
- RDP / panel wystawiony do internetu „dla wygody”
- brak osoby po Twojej stronie, która wie, że dostęp nadal żyje