Biztonságos kiszervezés: teljes útmutató folyamatokhoz, hozzáférésekhez és adatvédelemhez

Amikor először adsz át munkát egy szabadúszónak vagy virtuális asszisztensnek (VA), vagyis egy távolról dolgozó, önálló segítőnek, a figyelmed szinte mindig a feladaton van: mit csináljon, meddig, mennyiért. Az, hogy közben a levelezésed, a webshopod, a számlázód és az ügyfeleid adatai is átkerülnek valaki más gépére, csak később jut eszedbe. Sokszor akkor, amikor már nem tudod megmondani, ki mihez fér hozzá.

Ez az útmutató a biztonságos kiszervezés teljes térképe. Egy helyre gyűjtöttük az alapelveket, egy egyszerű döntési keretet és a leggyakoribb hibákat, és minden témánál megmutatjuk, melyik részletes cikkünkben folytathatod. Akár az első segítődet keresed, akár már többen dolgoznak neked: a jó rendszer téged és az ügyfeleidet is véd.

Mit jelent a biztonságos kiszervezés?

A biztonságos kiszervezés azt jelenti, hogy úgy adsz át munkát, hogy közben nem adsz át több hozzáférést, több adatot és több felelősséget, mint amennyi a feladathoz kell. Nem bizalmatlanság, hanem rend: tudod, mit adtál ki, kinek, milyen szinten és meddig.

A legtöbb baj nem egy rosszindulatú segítőből lesz. Sokkal gyakoribb, hogy egy jelszó egy régi e-mailben marad, egy külsős segítő adminisztrátori joggal véletlenül kikapcsol valamit, vagy egy vevőlista évekkel később is ott van valakinek a Letöltések mappájában. Ezek mind megelőzhetők, és a megelőzés nagy része egyszeri beállítás vagy egy jó szokás.

Három terület adja a biztonságos kiszervezés vázát:

Merre indulj?

Ha konkrét kérdéssel érkeztél, ez a táblázat megmutatja, melyik cikkünkben találod a választ. A cikkek a téma teljes útját lefedik: a feladat kiválasztásától a lezárásig.

Ha ez a kérdésed	Ezt olvasd el	Mit kapsz belőle
Mit adhatok át egyáltalán?	Feladatkatalógus	60 feladat nehézséggel és átadási móddal
Hogyan írjam le, hogy ne kérdezzen folyton?	SOP-írás	Kitölthető sablon és kidolgozott minta
Hogyan adjak hozzáférést jelszó nélkül?	Hozzáférés megosztás	Rendszerenkénti beállítás és hozzáférés-lista
Hogyan vezessem be a jelszókezelőt?	Jelszókezelő bevezetése	Költözés, ügyfelenkénti rend, megosztás, vészhelyzet
Mit kérdezzek a segítőm gépéről és fiókjairól?	Adatbiztonság alapok	Eszköz, mentés, 2FA, adathalászat, ellenőrzőlista
Hol legyenek az ügyfeleim adatai, amíg a segítőm dolgozik velük?	Ügyféladatok védelme	Tárolás, továbbítás, napló, törlési jegyzőkönyv
Véget ér az együttműködés, mit csináljunk?	Szerződés megszűnése	Kétoldalú lezárási lista és záró e-mail

Hat alapelv, amire minden épül

A részletes cikkek sok konkrét beállítást tartalmaznak, de mögöttük ugyanaz a néhány elv áll. Ha ezeket érted, egy olyan rendszernél is jól fogsz dönteni, amiről nem írtunk külön.

Az első elvnek neve is van az informatikában: a legkisebb jogosultság elve. Lényege, hogy egy tévedés vagy egy feltört fiók is csak kis kárt tud okozni, ha a jogosultság szűk. Kiszervezésnél ez a gyakorlatban azt jelenti, hogy minden rendszernél három kérdést teszel fel: mit kell elvégeznie, melyik a legalacsonyabb szerepkör, amivel ez megy, és meddig kell neki.

A hat elv egymásra épül. Ha le van írva a folyamat, látszik, milyen hozzáférés kell hozzá. Ha saját fiókkal dolgozik a segítőd, a lezárás egyszerű. Ha csak a szükséges adat van nála, egy elveszett laptop is kisebb baj.

A biztonságos kiszervezés térképe

Minden együttműködés ugyanazt az öt állomást járja be, akár egy hónapos projektről, akár évekig tartó közös munkáról van szó. Az ábra megmutatja, melyik állomáshoz melyik cikkünk tartozik.

Az öt állomás nem szigorú sorrend, inkább egy kör. Egy új feladat átadásakor újra az elsőnél kezded, egy negyedéves átnézésnél a harmadikhoz és a negyedikhez térsz vissza. Az viszont fontos, hogy egyik se maradjon ki: a legtöbb gond abból lesz, hogy valaki a harmadik állomáson kezdi (jelszót küld), és az ötödikről megfeledkezik.

Döntési keret: mennyi védelem kell egy feladathoz?

Nem minden feladat igényel ugyanannyi óvatosságot. Egy kutatási táblázathoz nem kell ugyanaz a rend, mint a számlázóhoz vagy a vevőlistához. Ez a háromszintű keret segít eldönteni, mennyi előkészület kell egy feladat átadása előtt. A szintek szemléltetők, a saját helyzetedhez igazítsd őket.

Kockázati szint	Példa feladat	Hozzáférés	Adatkezelés	Mit készíts elő?
Alacsony	Kutatás, formázás, grafikák és posztszövegek előkészítése	Megosztott mappa, nincs fiók	Nincs személyes adat	Rövid feladatleírás
Közepes	Naptárkezelés, posztütemezés, levelezés előszűrése, weboldal-szerkesztés	Saját fiók, szűk szerepkör	Név, e-mail, üzenetek	SOP és hozzáférés-lista
Magas	Számlázás, webshop, vevőlista, hírlevél	Saját fiók, külön jóváhagyás a fontos lépésekhez	Ügyféllista, megrendelések, számlák	SOP, lista, írásos adatkezelési megállapodás

Ha bizonytalan vagy, melyik szintbe tartozik egy feladat, tedd fel magadnak a kérdést: mi a legrosszabb, ami történhet, ha valaki itt téved? Ha a válasz egy javítható hiba, alacsony vagy közepes a szint. Ha elveszett ügyfél, pénzügyi kár vagy adatvédelmi incidens, akkor magas.

Mit adj át, és hogyan írd le?

A biztonság ott kezdődik, hogy jól választod meg, mit adsz ki elsőként. Egy kis tétű, ismétlődő feladaton mindketten megtanuljátok a közös rendet, mielőtt érzékenyebb rendszerek kerülnének sorra. Ha egy korábbi átadás után úgy érezted, gyorsabb, ha magad csinálod, az ok gyakran nem a segítő volt, hanem az, hogy a folyamat csak a te fejedben létezett.

A kiszervezhető feladatok katalógusában 60 feladatot gyűjtöttünk össze nyolc területről, az admintól az e-mailen és a pénzügyi előkészítésen át a kutatásig. Mindegyiknél látod, mennyire nehéz, és hogy azonnal, leírt folyamattal vagy fokozatosan érdemes-e átadni. A katalógus külön jelzi azokat a pontokat, ahol a hozzáférés a kényes rész, például a postafiók vagy a banki adatok esetén, így már a választásnál látod, hol kell majd óvatosabbnak lenned.

Ha megvan a feladat, le kell írni. Az SOP-írásról szóló útmutatónk megmutatja, hogyan készíts lépésről lépésre leírt munkautasítást (SOP), amiből a segítőd kérdezés nélkül dolgozik. Kapsz hozzá nyolcrészes sablont, egy teljesen kidolgozott mintát a bejövő számlák havi előkészítéséről, és egy gyors módszert arra, hogyan lesz egy képernyővideóból kész leírás. Biztonsági szempontból a legfontosabb része az, hogy mi kerülhet az SOP-ba a hozzáférésekről: a rendszer neve és a belépés helye igen, a jelszó soha.

Megbízóként érdemes az első átadás előtt egy hétig mérni, mire megy el az időd, mert így nem a legnagyobb teher, hanem a legjobb első feladat kerül ki. Ehhez az időnapló-módszerről szóló cikkünk ad keretet. Ha pedig már megvan a segítő, az első 30 nap betanítási terve segít fokozatosan, hétről hétre bővíteni, amit önállóan csinál.

Hozzáférések: saját fiók, szűk szerepkör, jelszókezelő

A hozzáférések kezelése a biztonságos kiszervezés legkézzelfoghatóbb része. Itt dől el, hogy egy év múlva meg tudod-e mondani, ki mihez fér hozzá.

A hozzáférés megosztásról szóló cikkünk rendszerenként végigveszi, hogyan adj saját belépést jelszóküldés nélkül: Gmail-delegálás, Google Workspace, Analytics, Meta vállalkozási portfólió, Számlázz.hu, Shopify és WordPress. Bemutatja a hozzáférés-listát is, ami egyetlen táblázatban mutatja meg, ki milyen rendszerhez, milyen szerepkörrel, mióta és meddig fér hozzá. A cikk végén negyedéves felülvizsgálati menetrendet és ellenőrzőlistát is kapsz.

Ahol nincs delegálás, ott jön a jelszókezelő. A jelszókezelő bevezetéséről szóló cikkünk a gyakorlati oldalt mutatja meg: hogyan működik a közös gyűjtemény, a megosztás és a visszavonás, és hol legyenek a kétlépcsős kódok. Ebből azt is látod, mit érdemes a segítődnek megosztanod, és mit cserélj le a végén. Ha még nem választottál eszközt, előtte a jelszókezelők összehasonlítását érdemes elolvasni.

A hozzáférések rendje az együttműködés első napjaiban áll fel a legkönnyebben, amikor úgyis minden rendszert egyenként végignéztek. Ezt a lépést az ügyfél-onboarding ellenőrzőlistánk is tartalmazza, a kommunikációs szabályokkal és az első 30 nap teendőivel együtt.

Adatbiztonság és ügyféladatok a napi munkában

Hiába rendezett a hozzáférés, ha a gép, amelyről a segítőd belép, nincs védve. Egy kisvállalkozásnál a külsős segítő gyakran a leggyengébb láncszem: hozzáfér a fontos fiókokhoz, de az ő laptopját senki nem felügyeli. Az ENISA, az EU kiberbiztonsági ügynöksége kisvállalkozásoknak szóló oldala is a zsarolóvírust, az adathalászatot és az ellopott laptopot emeli ki a legfőbb veszélyek között.

Az adatbiztonsági alapokról szóló cikkünk a segítő oldaláról írja le a minimumot: képernyőzár, frissítés, lemeztitkosítás, mentés, kétlépcsős azonosítás és óvatosság az adathalász üzenetekkel. Megbízóként ebből látod, mit kérdezz meg egy leendő szabadúszótól vagy VA-tól, mielőtt hozzáférést adsz neki.

Az ügyféladatok védelméről szóló cikkünk az adatok útját követi végig az átvételtől a lezárásig. Megbízóként a lényeg: a segítőd lehetőleg a te fiókodban dolgozzon, ne a saját tárhelyén, csak annyi adatot kapjon, amennyi a feladathoz kell, és a végén kérj tőle törlési jegyzőkönyvet.

Ez a szerepfelosztás a GDPR-ból, az uniós adatvédelmi rendeletből következik, aminek magyar szövege az EUR-Lexen olvasható. Ha a segítőd AI-eszközt is használ a munkához, külön figyelmet érdemel, mit írhat be egy csevegőbe: erről az ügyféladat és AI adatvédelmi alapszabályairól szóló cikkünkben írtunk részletesen.

A csaló üzenetek külön figyelmet érdemelnek, mert a segítőd kétszeresen célpont: a saját fiókjai és a tieid miatt is. A Nemzeti Kiberbiztonsági Intézet tanácsai között rendszeresen olvashatsz az aktuális magyar csalási hullámokról, érdemes havonta ránézni. A legfontosabb közös szabály egyszerű: utalást, számlaszám-változást és hozzáférés-kérést csak egy második csatornán, például telefonon megerősítve teljesít a segítőd.

Ha baj van: incidens és a 72 óra

Bármilyen gondosak vagytok, előfordulhat, hogy elveszik egy laptop, rossz címzetthez megy egy fájl, vagy valaki belép egy hamis oldalon. Ilyenkor nem a bűnös keresése a fontos, hanem a gyors, nyugodt reakció.

Ha személyes adatokat érint az eset, adatvédelmi incidensről beszélünk. A NAIH adatvédelmi incidensekről szóló tájékoztatója szerint az adatkezelőnek indokolatlan késedelem nélkül, lehetőleg 72 órán belül be kell jelentenie a hatóságnak, kivéve, ha az eset valószínűleg nem jár kockázattal az érintettekre. Az adatfeldolgozó, vagyis többnyire a szabadúszó vagy a VA, indokolatlan késedelem nélkül a megbízót értesíti. A 72 óra tehát a te órád, de nagyrészt a segítődön múlik, mennyi marad belőle.

1. Állítsátok meg a bajt. Jelszócsere egy másik, biztonságos eszközről, kijelentkeztetés minden munkamenetből, elveszett eszköznél távoli törlés.
2. A segítő azonnal szól a megbízónak. Nem kell megvárni, hogy minden kiderüljön: mi történt, mikor vette észre, mit tett eddig.
3. Jegyezzetek fel mindent. Időpont, érintett fiók, milyen adat lehetett benne, kinek szóltatok. A bejelentéshez erre lesz szükség.
4. A megbízó dönt a bejelentésről. Ő mérlegeli, kell-e hatósági bejelentés, a tényeket a segítőtől kapja meg.
5. Zárjátok be a rést mindenhol. Ha egy újrahasznosított jelszó vagy egy hiányzó kétlépcsős azonosítás volt az ok, azt a többi fióknál is javítsátok.

Érdemes már az együttműködés elején rögzíteni, kit kell értesíteni baj esetén, akkor is, ha te éppen szabadságon vagy. Egy név és egy telefonszám a megállapodásban sokat számít, amikor órák múlnak rajta.

Lezárás: amikor véget ér az együttműködés

A lezárás a biztonságos kiszervezés legtöbbet elhanyagolt pontja. Ilyenkor a figyelem már a következő projekten vagy a következő segítőn jár, és pont ekkor maradnak nyitva elfelejtett belépések, a segítő fiókjából futó automatizálások vagy az ő kártyáján futó előfizetések.

A szerződés megszűnéséről szóló cikkünk lépésről lépésre végigvezet a lezáráson, és megmutatja, mi a te dolgod megbízóként. Kétheti ütemtervet ad a bejelentéstől a záró e-mailig, külön kitér a jelszókezelős megosztásra, a kétlépcsős azonosításra, a közös meghajtók tulajdonjogára, az admin-szerepekre és az automatizálásokra. Szó van benne a titoktartásról, ami a szerződés után is él, és arról is, hogyan rendezd a lezárást, ha vitával ér véget az együttműködés.

A lezárás adatvédelmi oldalát a GDPR is rögzíti: az adatfeldolgozó a szolgáltatás végén a megbízó döntése szerint törli vagy visszaadja a személyes adatokat, kivéve, ha jogszabály megőrzést ír elő. Ezt a legjobb már a megállapodásban rendezni, ebben segít a VA együttműködési megállapodásról szóló cikkünk. A titoktartás részleteiről az üzleti titokról szóló cikkünkben olvashatsz.

Gyakori hibák, és mit csinálj helyettük

A legtöbb biztonsági gond kiszervezésnél nem technikai hiányosságból, hanem egy kényelmes rövidítésből lesz. Ezek a leggyakoribbak, és mindegyiknek megvan az egyszerű ellenszere.

• Jelszó e-mailben vagy csetben, „csak most az egyszer”. Helyette saját fiók delegálással, vagy megosztás jelszókezelőn keresztül.
• Adminisztrátori jog, mert úgy egyszerűbb. Helyette a legalacsonyabb szerepkör, amivel a feladat elvégezhető, és emelés csak indokolt esetben.
• „Küldd át az egészet, majd kiválogatom.” Helyette szűrt export, csak a szükséges oszlopokkal.
• Közös családi gép, zárolatlan képernyő. Helyette külön felhasználói fiók, lemeztitkosítás és automatikus képernyőzár.
• Fejben tartott hozzáférések. Helyette hozzáférés-lista lejárattal, negyedéves átnézéssel.
• Lezárás az utolsó pillanatban, emlékezetből. Helyette kétheti ütemterv és írásos jegyzőkönyv a törlésről vagy visszaadásról.

Van egy hiba, ami nem ezen a listán van, mert nem egy lépés, hanem hozzáállás: ha a biztonságot az egyik fél a másik dolgának tartja. A megbízó azt gondolja, „a segítő majd tudja”, a segítő azt, hogy „az ügyfél dönti el”. A jó együttműködésben mindketten ugyanazt a listát vezetik, és mindketten szólnak, ha valami nem stimmel.

Hol kezdd? Útvonal kezdőknek és haladóknak

Nem kell egyszerre mindent bevezetned. Az alábbi útvonal az első kiszervezéstől a rutinszerű, több segítővel működő rendig vezet. Kezdőként az első három lépés elég, haladóként a negyediktől érdemes folytatni.

1. Válassz egy kis tétű első feladatot. Nézd át a feladatkatalógust, és válassz egy ismétlődő, alacsony kockázatú feladatot. Ezen tanuljátok meg a közös rendet.
2. Írd le, és add át saját fiókkal. Készíts hozzá egy rövid SOP-t a sablon alapján, és a segítőd saját belépéssel, szűk szerepkörrel kapjon hozzáférést. Indítsd el a hozzáférés-listát.
3. Tedd rendbe a saját alapjaidat. Jelszókezelő, kétlépcsős azonosítás a levelezésen, képernyőzár és frissítések. Ehhez az adatbiztonsági alapok ellenőrzőlistája elég.
4. Haladóként: segítőnkénti rend a jelszókezelőben. Minden segítőnek külön gyűjtemény, egységes elnevezéssel, hogy egy lépésben visszavonható legyen, a bevezetési útmutató szerint.
5. Haladóként: adatút és napló. Rögzítsd, hol dolgoztok az adatokkal, hogyan küldtök érzékeny fájlt, és vezessetek hozzáférési naplót az ügyféladatok védelméről szóló cikk mintája alapján.
6. Haladóként: lezárási sablon előre. Készítsd el a lezárási listát még az együttműködés elején, a szerződés megszűnéséről szóló útmutató táblázata alapján, hogy a vége ne meglepetés legyen.

Ha már több segítővel dolgozol, a hozzáférés-lista és a negyedéves átnézés lesz a rendszer gerince. Egy órát vesz igénybe negyedévente, cserébe bármikor meg tudod mondani, ki mihez fér hozzá.

Gyakori kérdések

Mi a biztonságos kiszervezés első lépése?

Az, hogy eldöntöd, mit adsz át, és mekkora a tét, ha valami félremegy. Kezdd egy ismétlődő, kis kockázatú feladattal, írd le egy rövid SOP-ban, és a segítőd saját fiókkal kapjon hozzá hozzáférést. A jelszóküldést már az első napon hagyd el.

Szabad-e megadni a jelszavamat a szabadúszónak vagy a VA-nak, ha megbízom benne?

A bizalom nem a kérdés. Ha jelszót adsz, a rendszer szemében onnantól te vagy minden művelet végzője, és csak teljes jelszócserével tudod kizárni. Ahol a rendszer tud több felhasználót vagy delegálást, használd azt. Ahol nem, a belépést jelszókezelőn keresztül oszd meg, és a munka végén cseréld le.

Kell-e írásos adatkezelési megállapodás egy szabadúszóval vagy VA-val?

Ha a szabadúszó vagy a VA személyes adatokkal dolgozik a megbízásodból (ügyféllista, megrendelések, levelezés), akkor jellemzően adatfeldolgozónak számít, és a GDPR szerint ezt írásban kell rendezni. A megállapodásban szerepeljen, milyen adatokhoz fér hozzá, milyen célra, hogyan védi őket, és mi lesz velük a munka végén. A pontos szöveghez kérj jogi segítséget.

Mit tegyek, ha a segítőm elveszíti a laptopját?

Kérd, hogy azonnal állítsa meg a bajt: jelszócsere egy másik eszközről, kijelentkeztetés mindenhonnan, távoli törlés, ha lehetséges. Te közben függeszd fel a hozzáféréseit, és döntsd el, szükséges-e hatósági bejelentés, mert ez a te felelősséged. Ha a gép titkosított volt és képernyőzárral védett, és csak kevés ügyféladat volt rajta, a baj sokkal kisebb.

Milyen gyakran kell átnézni a hozzáféréseket?

Negyedévente egyszer elég, ha közben minden új hozzáférést és minden visszavonást beírtok a hozzáférés-listába. Az átnézés fél-egy óra: összeveted a listát a rendszerek felhasználói felületével, visszavonod a gazdátlan hozzáféréseket, és visszaállítod az egyszeri feladatokhoz megemelt jogokat.

Mit kérj vissza a segítődtől az együttműködés végén?

Az ügyfeleid adatait, az exportokat, a munkafájlokat és a jelszavakat: ezeket a döntésed szerint vissza kell adnia vagy törölnie kell, és ezt egy rövid jegyzőkönyvben érdemes rögzíteni. A saját könyvelési iratait, vagyis a számlákat, a szerződést és a teljesítést igazoló dokumentumokat viszont megtarthatja, ezekre jogszabályi megőrzési idő vonatkozik.

Minden cikk a témában

• Szerződés megszűnése megbízóként: hozzáférések, adatok és lezárásSzerződés megszűnése teendők megbízóként: hozzáférések visszavétele, adatok, titoktartás és írásos lezárás szabadúszóval vagy VA-val.
• Ügyféladatok védelme a gyakorlatban: tárolás, továbbítás, törlésÜgyféladatok védelme a gyakorlatban: hol tárold az ügyfél fájljait, hogyan küldd át biztonságosan, mi a teendő a projekt végén? Szabadúszóknak és VA-knak.
• Hozzáférés megosztás kiszervezéskor: így add át biztonságosan a fiókjaidatHozzáférés megosztás kiszervezéskor: Google, Meta, számlázó és webshop fiókok átadása jelszóküldés nélkül, és rendezett visszavonás a munka végén.
• Jelszókezelő bevezetése lépésről lépésre: költözés, megosztás ügyféllel, vészhelyzetJelszókezelő használata a gyakorlatban: mesterjelszó, költözés Chrome-ból és Safariból, ügyfelenkénti rend, megosztás, 2FA és vészhelyzet.
• Feladatkatalógus: 60 kiszervezhető feladat, amit átadhatsz60 kiszervezhető feladat nyolc területen, táblázatokban: mennyire nehéz, mikor adhatod át, és mire figyelj, hogy ne kelljen visszavenned.
• Adatbiztonság szabadúszóknak és VA-knak: az alapok egy helyenGép, telefon, mentés, fiókok, wifi, adathalászat és ügyféladatok: az adatbiztonság alapjai szabadúszóknak, ellenőrzőlistával és teendőkkel baj esetére.
• SOP-írás: sablon és útmutató a feladatátadáshozMi az SOP, mikor érdemes megírni, és hogyan készíts olyan leírást, amiből a külsős segítőd kérdezés nélkül dolgozik. SOP sablon kidolgozott mintával.