Hozzáférés megosztás kiszervezéskor: így add át biztonságosan a fiókjaidat

Az első közös munkanap reggelén szinte mindig ugyanaz történik: az új külsős segítőnek, legyen az virtuális asszisztens, röviden VA, közösségimédia-kezelő vagy webfejlesztő, hozzáférés kell a levelezéshez, a Facebook-oldalhoz, a számlázóhoz vagy a webshophoz, a megbízó pedig gyorsan átküldi a jelszavakat egy e-mailben. Működik, csak éppen egy év múlva senki nem tudja, ki mihez fér hozzá, és melyik jelszó van még mindig egy régi levélben.

Ebben a cikkben lépésről lépésre végigmegyünk azon, hogyan érdemes a hozzáféréseket kezelni, ha kiszervezel. Szó lesz a hozzáférés-listáról, a legkisebb jogosultság elvéről, a rendszerenkénti delegált hozzáférésről, a jelszókezelőről, a kétlépcsős azonosításról és arról is, hogyan zárd le rendesen az együttműködést. A végén kapsz egy ellenőrzőlistát is, amit a saját sablonjaid közé tehetsz.

Miért nem jó megoldás elküldeni a jelszót?

A jelszó elküldése azért csábító, mert két perc, és a segítőd azonnal dolgozhat. A gond az, hogy ezzel nem hozzáférést adsz, hanem a személyazonosságodat adod kölcsön. A rendszer szemében onnantól te vagy az, aki belép, levelet küld vagy számlát állít ki.

Ennek három gyakorlati következménye van:

A megoldás nem bonyolult: ahol lehet, a külsős segítő saját fiókkal, saját jogosultsággal lépjen be. A legtöbb rendszer, amit egy kisvállalkozás használ, erre már fel van készítve. Ahol nem, ott jelszókezelőn keresztül osztod meg a belépést, és nem levélben.

Egy pillantásra: rendszerenként hogyan add a hozzáférést

Ez a táblázat a leggyakoribb rendszereket fedi le. Ha sietsz, ebből már látod, mit hol kell beállítani. A részleteket lent, rendszerenként találod.

Rendszer	Hogyan add?	Milyen szint elég általában?	Mire figyelj?
Gmail (magánfiók)	Levelezési felhatalmazás a beállításokban	Delegált, nem a jelszó	A delegált nem éri el a fiókbeállításokat
Google Workspace	Saját felhasználó a cég domainjén	Csak a szükséges megosztott mappák	Külsős delegált nem adható hozzá
Google Analytics	Felhasználó hozzáadása szerepkörrel	Megtekintő vagy Szerkesztő	Adminisztrátor csak a tulajdonos legyen
Meta (Facebook, Instagram)	Személy a vállalkozási portfólióban	Részleges hozzáférés, eszközönként	Teljes hozzáférés csak megbízható adminnak
Számlázz.hu	Felhasználó meghívása szerepkörrel	Számlázó vagy Kezelő	Meghívni csak Fiókgazda és Adminisztrátor tud
Shopify	Munkatárs vagy partneri hozzáférés	Csak az érintett menük	A partnerhozzáférés 90 nap inaktivitás után lejár
WordPress, WooCommerce	Saját felhasználó szerepkörrel	Szerkesztő vagy Szerző	Adminisztrátori jog bővítményt is telepíthet

A legkisebb jogosultság elve a gyakorlatban

Az informatikában van egy régi alapszabály, a legkisebb jogosultság elve: mindenki csak annyi hozzáférést kapjon, amennyi a feladatához valóban kell, és semmivel sem többet. Nem bizalmatlanságból, hanem azért, mert így egy tévedés vagy egy feltört fiók is csak kis kárt tud okozni.

Kiszervezésnél ez három kérdést jelent minden rendszernél:

1. Mit kell elvégeznie? Írd le konkrétan: „heti két posztot ütemez a Facebook-oldalra”, nem azt, hogy „kezeli a közösségi médiát”.
2. Melyik szerepkör elég ehhez? Nézd meg a rendszer szerepköreit, és válaszd a legalacsonyabbat, amivel a feladat elvégezhető. Ha később kiderül, hogy kevés, emelni mindig könnyebb, mint visszavenni.
3. Meddig kell? Egy egyszeri projekthez adott hozzáférésnek legyen vége. Írd be a hozzáférés-listába a tervezett lejáratot is.

Hozzáférés-lista: egy táblázat, ami mindent összefog

A hozzáférés-lista egy egyszerű táblázat, amelyben minden sor egy rendszer és egy ember kapcsolata. Lehet egy közös táblázat a Google Drive-on, egy oldal a jegyzetalkalmazásodban, vagy egy lap a projektkezelődben. A lényeg, hogy egy helyen legyen, és mindkét fél lássa. Sok vállalkozónál ez a tudás csak fejben létezik, és amíg nincs leírva, minden új belépésnél és minden kérdésnél neked kell ott lenned.

Ezeket az oszlopokat érdemes felvenni:

• Rendszer: például Gmail, Meta, Számlázz.hu, webshop.
• Ki fér hozzá: a segítő neve és a belépéshez használt e-mail-címe.
• Szerepkör: milyen szinten, például Szerkesztő vagy részleges hozzáférés.
• Hogyan kapta: saját fiók, delegálás, vagy jelszókezelőben megosztott belépés.
• Mikor adtad, ki adta: dátum és a megbízó oldalán a felelős neve.
• Tervezett lejárat: projekt vége, vagy „határozatlan, negyedéves felülvizsgálattal”.
• Visszavonva: dátum, amikor megszűnt. Ezt a sort ne töröld, csak töltsd ki.

A listát a legjobb már az együttműködés elején, az onboarding során elkészíteni, amikor úgyis minden rendszert egyenként végignéztek.

Delegált hozzáférés rendszerenként

Delegált hozzáférésnek azt hívjuk, amikor a rendszer maga ad lehetőséget arra, hogy egy másik ember a saját fiókjával dolgozzon a tiédben. Nézzük a leggyakoribbakat.

Google: levelezés, Drive, Analytics

Magán Gmail-fióknál a levelezési felhatalmazás a megoldás. A Google súgója szerint egy magánfiókhoz legfeljebb 10 delegáltat adhatsz hozzá, akik olvashatják, elküldhetik és törölhetik a leveleidet, de a jelszavadat nem változtathatják meg, és a Google-fiók beállításaihoz sem férnek hozzá. A meghívást egy héten belül el kell fogadni, és a hozzáférés akár 24 óra alatt lép életbe.

Céges Google Workspace-fióknál van egy fontos korlát: delegáltként csak a szervezeten belüli embert adhatsz hozzá, és ehhez a rendszergazdának is engedélyeznie kell a funkciót. Külsős segítőnél ezért a szokásos megoldás egy saját felhasználó a cég domainjén, vagy a fontos mappák megosztása a szabadúszó saját fiókjával.

A Google Analyticsben a felhasználókat szerepkörrel adhatod hozzá. A Google súgója szerint felhasználót csak adminisztrátori szerepkörrel lehet hozzáadni, a külsős segítőnek, például egy hirdetéskezelőnek, pedig a riportokhoz általában a Megtekintő, beállításokhoz a Szerkesztő szint elég.

Meta: Facebook-oldal és Instagram

A Meta vállalkozási portfóliójában a közösségimédia-kezelőt vagy a VA-t személyként hívod meg a beállítások Felhasználók részében. Két alapszint közül választhatsz: a teljes hozzáférés mindent kezel, beleértve a többi embert és a beállításokat is, a részleges hozzáférés csak azokhoz az eszközökhöz enged hozzá, amelyeket kifejezetten kiosztasz neki. Külsős segítőnek szinte mindig a részleges való, és eszközönként (oldal, Instagram-fiók, hirdetési fiók) külön állíthatod, mit tehet.

Ha a segítőd egy ügynökségnek dolgozik, amelynek saját portfóliója van, akkor partnerként is megoszthatod vele az eszközöket. Ilyenkor nem embert, hanem céget engedsz be, és az ügynökség maga osztja ki a hozzáférést a munkatársainak.

Számlázó program

A Számlázz.hu jogosultsági táblázata hét szerepkört sorol fel, például Fiókgazda, Adminisztrátor, Kezelő, Könyvelő és Számlázó. Új felhasználót csak a Fiókgazda és az Adminisztrátor hívhat meg. Számlák kiállításához a VA-nak vagy a könyvelés-előkészítést végző szabadúszónak nem kell adminisztrátori szint: válaszd a feladathoz illő, legszűkebb szerepkört, és nézd meg a táblázatban, mit enged.

Ha a külsős segítő a NAV Online Számla felületén is dolgozik, ott sem a te ügyfélkapus belépésed kell neki. Az elsődleges felhasználó létrehozhat másodlagos felhasználót, akinek a jogait ő állítja be, és aki kétlépcsős azonosítással lép be.

Webshop

Shopifynál a munkatársakat felhasználóként, szerepkörrel adod hozzá. Ha a segítőd Shopify-partner, a partneri hozzáférés a jobb út: a Shopify súgója szerint ez nem számít bele a bolt felhasználói keretébe, a partnernek kötelező a kétlépcsős azonosítás, és ha 90 napig nem lép be, a hozzáférése lejár.

WordPress-alapú webshopnál (WooCommerce) minden külsős segítő saját felhasználót kapjon. A WordPress szerepköreinek leírása szerint az Adminisztrátor mindent elér, a Szerkesztő mások bejegyzéseit is kezelheti, a Szerző csak a sajátjait. Tartalmi munkához a Szerkesztő vagy a Szerző elég, adminisztrátori jog csak akkor kell, ha a segítő, például a webfejlesztő, bővítményeket is kezel.

Ha mégis jelszó kell: jelszókezelő és kétlépcsős azonosítás

Van, ahol nincs delegálás: egy kisebb szolgáltató felülete, egy régi fiók vagy egy olyan rendszer, ahol a felhasználói hely pénzbe kerül. Ilyenkor a belépést jelszókezelőn keresztül oszd meg. A jelszókezelő egy titkosított trezor a belépési adatoknak, amelyben megosztott mappát is létrehozhatsz, és a segítőd csak azt látja, ami abban a mappában van.

Ennek három előnye van az e-mailhez képest: a jelszó nem marad szöveges formában a levelezésben, a megosztást bármikor visszavonhatod, és jó esetben a szabadúszó a jelszót nem is látja, csak kitölteti vele a belépést. Hogy melyik jelszókezelő mire jó, arról a jelszókezelőkről szóló cikkünkben írtunk részletesen.

A kétlépcsős azonosítás (2FA), vagyis amikor a jelszó mellé egy telefonra érkező kód vagy egy hitelesítő alkalmazás kódja is kell, a megosztott fiókoknál a legtöbb fejtörést okozza. Ha a kód a te telefonodra jön, a segítőd minden belépésnél rád vár.

A biztonsági kódokat is kezeld tudatosan. A Google például 10 egyszer használatos biztonsági kódot ad, amivel akkor is be tudsz lépni, ha a telefonod nincs kéznél, és ha új készletet kérsz, a régi automatikusan érvénytelenné válik. Ezeket a kódokat a tulajdonos tartsa magánál, a külsős segítőnek nem kellenek.

Naplózás és negyedéves felülvizsgálat

A legtöbb komolyabb rendszer naplózza, ki mikor lépett be és mit módosított. Ez csak akkor ér valamit, ha mindenki saját fiókkal dolgozik, hiszen közös fióknál a napló mindent ugyanannak az embernek tulajdonít. A Shopify például a partner eltávolítása után is megtartja a nevét a tevékenységnaplóban, így később is visszakereshető, ki mit csinált.

Nem kell minden nap naplót olvasnod. Elég, ha negyedévente egyszer, egy fél órában végigmész a hozzáférés-listán:

1. Vesd össze a listát a valósággal. Nyisd meg sorban a rendszerek felhasználókezelését, és nézd meg, egyezik-e azzal, ami a listában áll.
2. Keresd a gazdátlan hozzáféréseket. Régi VA, egykori grafikus, egy kipróbált és elfelejtett alkalmazás: ami már nem kell, azt vond vissza.
3. Nézd meg a szinteket. Ha valaki egy egyszeri feladathoz kapott magasabb jogot, és a feladat lezárult, állítsd vissza.
4. Pillants rá a naplóra. Szokatlan időpontban történt belépés vagy ismeretlen eszköz esetén kérdezz rá. Többnyire ártatlan magyarázata van, de jobb tudni.

Offboarding: a hozzáférések visszavonása

Az offboarding, vagyis az együttműködés lezárása a hozzáférések szempontjából a legkényesebb pont, mert ilyenkor a figyelem már máshol jár. Ha a hozzáférés-lista naprakész, ez fél óra munka, ha nincs, napokig bukkannak elő elfelejtett belépések.

Az utolsó munkanapon ebben a sorrendben haladj:

1. Kérd az átadást a visszavonás előtt. A segítőd mentse ki vagy adja át a folyamatban lévő anyagokat, és jelezze, mely fájlok vannak az ő fiókjában.
2. Vedd vissza a tulajdonjogot a fájlokon. Ha a szabadúszó saját fiókjával hozott létre dokumentumokat egy megosztott mappában, gondoskodj róla, hogy azok a te tulajdonodba kerüljenek, mielőtt a fiókját eltávolítod.
3. Vond vissza a delegált hozzáféréseket. A lista alapján rendszerenként: Gmail-delegálás, Meta-portfólió, számlázó, webshop, Analytics.
4. Szüntesd meg a jelszókezelős megosztást. Utána cseréld le minden olyan fiók jelszavát, amit a segítőd valaha látott.
5. Ellenőrizd a 2FA-t és a helyreállítási adatokat. Sehol ne maradjon a szabadúszó telefonszáma vagy e-mail-címe helyreállítási lehetőségként.
6. Zárd le a listát. Írd be minden sorba a visszavonás dátumát, és küldj egy rövid visszaigazolást a segítődnek.

Ellenőrzőlista megbízóknak

Ezt a listát másold be a saját sablonjaid közé, és minden új együttműködésnél menj végig rajta: minden rendszerben saját fiókot adsz, nem jelszót; a legalacsonyabb elég szerepkört választod; a tulajdonosi szerep nálad marad; vezeted a hozzáférés-listát, lejárattal; negyedévente átnézed, kilépéskor pedig lezárod.

• Ne küldj jelszót e-mailben, csetben vagy SMS-ben, akkor sem, ha „csak most az egyszer”.
• Ne használjatok közösen egyetlen fiókot, ha a rendszer tud több felhasználót.
• Ne add át a tulajdonosi vagy fiókgazdai szerepet senkinek.
• Ne töröld a visszavont sorokat a listából: a múlt is fontos nyilvántartás.