ทีมเปลี่ยนคนบ่อย แต่สิทธิ์แอดมิน LINE OA ของลูกค้าเก่ายังไม่เคยถูกถอนสักที

Ironwood Digital ตัดสินใจทำการตรวจสอบสิทธิ์การเข้าถึงระบบทั้งหมดครั้งใหญ่ หลังจากมีลูกค้ารายหนึ่งถามขึ้นมาในการประชุมว่า ‘ใครบ้างที่เข้าถึง LINE OA ของเราได้ตอนนี้’ ทีมงานตอบไม่ได้ทันทีเพราะไม่เคยมีใครรวบรวมข้อมูลนี้ไว้เป็นระบบ

ผลการตรวจสอบทำให้ทุกคนในทีมตกใจ พบว่ามีบัญชีอดีตพนักงานสี่คนที่ลาออกไปแล้วตั้งแต่หกเดือนถึงสองปีก่อน ยังมีสิทธิ์แอดมินอยู่ในระบบ LINE OA ของลูกค้าเจ็ดรายที่ต่างกัน โดยไม่มีใครถอนสิทธิ์เหล่านั้นออกเลยสักครั้งตอนพนักงานลาออก

โชคดีที่ไม่มีเหตุการณ์เสียหายเกิดขึ้นจริง แต่เหตุการณ์นี้ทำให้ผู้บริหาร Ironwood Digital ตระหนักว่าเรื่องนี้ไม่ใช่ปัญหาทางเทคนิคเล็ก ๆ แต่เป็นความเสี่ยงที่อาจกระทบความไว้ใจของลูกค้าทั้งหมดได้ในคราวเดียว ถ้ามีใครนำสิทธิ์ที่ค้างอยู่ไปใช้ในทางที่ผิด

ความเสี่ยงที่ไม่มีใครนึกถึงจนกว่าจะมีคนถาม

สิทธิ์แอดมินที่ค้างอยู่หลังพนักงานลาออกเป็นปัญหาที่แทบทุกเอเจนซี่มี เพราะขั้นตอนการเพิ่มสิทธิ์ตอนรับงานใหม่มักถูกทำอย่างรวดเร็วและตั้งใจ แต่ขั้นตอนการถอนสิทธิ์ตอนพนักงานลาออกมักถูกลืมท่ามกลางความวุ่นวายของการหาคนมาแทนที่

ความเสี่ยงไม่ได้อยู่แค่ที่อดีตพนักงานจะทำอะไรผิด ๆ โดยตั้งใจ แต่รวมถึงความเสี่ยงที่บัญชีอีเมลหรือรหัสผ่านของอดีตพนักงานอาจถูกแฮ็กหลังจากลาออกไปแล้ว และกลายเป็นช่องทางเข้าถึงข้อมูลลูกค้าโดยที่ไม่มีใครในเอเจนซี่รู้ตัวเลย

เริ่มจากตรวจสอบว่ามีสิทธิ์อะไรค้างอยู่บ้าง

1. รวบรวมรายชื่อลูกค้าทุกรายที่เอเจนซี่มีสิทธิ์เข้าถึง LINE OA อยู่ในปัจจุบัน ไม่ว่าจะยังทำงานด้วยกันอยู่หรือจบสัญญาไปแล้ว
2. ตรวจสอบในเมนูตั้งค่าแอดมินของแต่ละบัญชีว่ามีใครบ้างที่มีสิทธิ์อยู่ เทียบกับรายชื่อพนักงานปัจจุบันของเอเจนซี่
3. ทำเครื่องหมายบัญชีที่พบว่ามีอดีตพนักงานหรือลูกค้าที่จบสัญญาไปแล้วยังมีสิทธิ์อยู่ เพื่อดำเนินการถอนสิทธิ์โดยเร็วที่สุด
4. บันทึกผลการตรวจสอบทั้งหมดไว้เป็นเอกสารอ้างอิง เพื่อให้การตรวจสอบครั้งถัดไปทำได้เร็วขึ้นและไม่ต้องเริ่มจากศูนย์

ทำให้การถอนสิทธิ์เป็นขั้นตอนมาตรฐาน ไม่ใช่สิ่งที่นึกได้ค่อยทำ

หลังตรวจสอบเสร็จ Ironwood Digital กำหนดให้การถอนสิทธิ์แอดมินเป็นส่วนหนึ่งของกระบวนการพนักงานลาออกอย่างเป็นทางการ เทียบเท่ากับขั้นตอนคืนอุปกรณ์บริษัท โดยมีเช็กลิสต์แยกต่างหากที่ต้องเซ็นรับรองก่อนจะปิดเคสพนักงานลาออกได้

ขั้นตอนนี้ยังเชื่อมโยงกับมาตรฐานการส่งต่องานเมื่อ AM ลาออกที่มีอยู่แล้ว โดยเพิ่มข้อกำหนดเรื่องสิทธิ์เข้าถึงเข้าไปเป็นหนึ่งในรายการที่ต้องตรวจสอบทุกครั้ง ไม่ใช่แยกกันเป็นคนละกระบวนการ

หลีกเลี่ยงการใช้บัญชีเดียวร่วมกันข้ามลูกค้า

อีกปัญหาที่พบระหว่างตรวจสอบคือทีมบางส่วนใช้บัญชีอีเมลกลางของเอเจนซี่บัญชีเดียวในการเข้าถึงลูกค้าหลายราย เพื่อความสะดวก แต่วิธีนี้ทำให้ตรวจสอบไม่ได้เลยว่าใครเป็นคนเข้าไปทำอะไรจริง ๆ เมื่อเกิดปัญหาขึ้น

แนวทางที่ปลอดภัยกว่าคือให้พนักงานแต่ละคนใช้บัญชีส่วนตัวของตัวเองเข้าถึงระบบลูกค้าแต่ละราย เพื่อให้ตรวจสอบย้อนหลังได้ว่าใครทำอะไรเมื่อไหร่ และเมื่อพนักงานคนนั้นลาออก การถอนสิทธิ์ก็ทำได้ตรงจุดโดยไม่กระทบพนักงานคนอื่น

เมื่อลูกค้าถามเรื่องความปลอดภัยของสิทธิ์เข้าถึง

หลังเหตุการณ์ตรวจสอบครั้งใหญ่ Ironwood Digital เตรียมคำตอบมาตรฐานไว้สำหรับลูกค้าที่ถามเรื่องนี้ โดยอธิบายว่ามีการตรวจสอบสิทธิ์เข้าถึงเป็นประจำทุกไตรมาส และมีขั้นตอนถอนสิทธิ์ทันทีเมื่อพนักงานที่เกี่ยวข้องลาออกหรือเปลี่ยนหน้าที่

การมีคำตอบที่ชัดเจนพร้อมหลักฐานเป็นเอกสารการตรวจสอบ ช่วยสร้างความมั่นใจให้ลูกค้าได้มากกว่าการตอบลอย ๆ ว่า ‘เราดูแลเรื่องนี้อยู่แล้ว’ โดยเฉพาะกับลูกค้าองค์กรใหญ่ที่มีทีม IT ของตัวเองคอยตรวจสอบผู้ให้บริการภายนอกอย่างเข้มงวด

สรุป

สิทธิ์แอดมินที่ค้างอยู่หลังพนักงานลาออกเป็นความเสี่ยงที่มองไม่เห็นจนกว่าจะมีคนถามหรือเกิดปัญหาขึ้นจริง เอเจนซี่ที่ดูแลลูกค้าหลายรายจึงต้องมีระบบตรวจสอบที่ทำเป็นประจำ ไม่ใช่รอให้นึกได้ค่อยทำ

เคส Ironwood Digital สอนว่าการตรวจสอบครั้งใหญ่ครั้งแรกอาจน่าตกใจ แต่การทำให้เป็นขั้นตอนมาตรฐานหลังจากนั้น ป้องกันความเสี่ยงระยะยาวได้คุ้มค่ากว่าการปล่อยไว้จนกลายเป็นปัญหาจริง

• ตรวจสอบสิทธิ์แอดมินทุกไตรมาส และทันทีทุกครั้งที่มีพนักงานลาออก
• หลีกเลี่ยงบัญชีอีเมลกลางที่ใช้ร่วมกันข้ามลูกค้า ให้แต่ละคนใช้บัญชีตัวเอง
• ผูกการถอนสิทธิ์เข้าเป็นส่วนหนึ่งของกระบวนการพนักงานลาออกอย่างเป็นทางการ

คำถามที่พบบ่อย