Domenetilgang når en ansatt slutter

En ansatt som har driftet domenet kan sitte med mer enn ett passord. Personen kan være registrert kontakt, DNS-administrator, e-postadministrator, eier av publiseringsprosjektet og eneste mottaker av fornyelsesvarsler. Fratredelsen må derfor håndtere hele kontrollkjeden.

Kartlegg før siste arbeidsdag

Be den ansvarlige og nærmeste leder gå gjennom:

• registrar og domeneabonnement
• registrert kontaktadresse og telefon
• DNS-leverandør og navnetjenere
• webhosting, kodearkiv og deploy
• e-postadministrator og postbokser
• analyse, søk, annonser og bedriftsprofil
• passordmanager, API-nøkler og tekniske tokens
• faktura, kort og fornyelsesvarsler

Kontroller opplysningene i systemene, ikke bare i et overleveringsdokument. En liste kan være utdatert.

Skill personlig konto fra delt hemmelighet

Ikke bare bytt hovedpassord. Aktive økter, app-passord og tokens kan fortsette å virke. Bruk leverandørens funksjon for å tilbakekalle dem der den finnes.

Sørg for at to personer kan komme inn

Før den gamle tilgangen fjernes, skal minst to betrodde personer eller en definert primær- og reservefunksjon kunne:

1. identifisere riktig registrar og DNS-leverandør
2. logge inn med egne kontoer
3. bruke virksomhetskontrollert MFA
4. motta sikkerhets- og fornyelsesvarsler
5. gjenopprette tilgang uten den ansatte
6. forklare hvilke poster og tjenester som er kritiske

Test dette med en ordinær innlogging. Ikke vent til en DNS-hendelse med å oppdage at reserven mangler.

Behandle registrert kontakt som kritisk tilgang

Norid understreker at kontaktinformasjonen må være oppdatert, og at e-postadressen brukes når det oppstår problemer med abonnementet. Se Norids veiledning om kontaktinformasjon .

Hvis den ansatte står med personlig e-post eller telefon, be registraren oppdatere dette til en adresse og rutine virksomheten kontrollerer. Ikke bruk en hoveddomeneadresse som eneste gjenopprettingsvei hvis et domene- eller e-postbrudd samtidig kan gjøre den utilgjengelig.

Håndter den ansattes postboks separat

Domenetilgang og e-postinnhold er ulike ting. Avgjør etter virksomhetens regler:

• når innlogging stenges
• hvilke virksomhetsmeldinger som må overføres
• hvordan aktive kunder får ny kontakt
• hvor lenge et autosvar eller alias skal stå
• hvem som kan lese historikk og med hvilket formål
• når kontoen og data skal slettes

Ikke gi etterfølgeren den gamle identiteten. Opprett en ny personlig konto og bruk rollebaserte adresser for varige funksjoner.

Gjennomgå nylige endringer

Ved en sensitiv eller uventet fratredelse bør virksomheten kontrollere:

• nye administratorer eller MFA-metoder
• endret registrert kontakt
• navnetjenere, DNS og DNSSEC
• videresendinger og e-postregler
• nye API-nøkler eller appintegrasjoner
• publiseringer og tilgang til kildekode
• eksport eller masseendring der logger finnes

Bevar relevante logger og eskaler dersom noe er uautorisert. Beredskapsplanen for domene, DNS og e-post gir hendelsesrekkefølgen.

Fratredelsessjekk

• Abonnent og registrar er kontrollert.
• Kontaktadresse og telefon tilhører virksomheten.
• To ansvarlige kan logge inn med egne faktorer.
• Personlige kontoer og aktive økter er stengt.
• Delte hemmeligheter den ansatte kjente er rotert.
• Rollealiaser er flyttet til ny eier.
• Fornyelse og faktura har navngitt ansvar.
• Endringslogger er gjennomgått.
• Overleveringen er godkjent av virksomheten.

Har bedriften allerede mistet tilgangen, bruk gjenopprettingsguiden for domenekonto . Hvis domenet skal flyttes til Vymo etter oppryddingen, kontakt oss uten å sende passord eller flyttekode i skjemaet.