怎麼自動撤銷離職員工對所有公司工具的存取權

大多數新創的離職交接長這樣：人資把某人標記為已終止、IT 移除他的 Google Workspace 帳號、然後過兩天有人記得把他從 Slack 踢掉。Figma 權限？離職三個月後還活著。Instagram 密碼？沒換過。AWS 憑證？沒人知道。

這就是每家用手動方式管權限的新創裡，正在悄悄長大的資安風險。修正方法不是「更好的清單」，而是一套人資感知的權限管控系統，當在職狀態改變時自動撤銷權限。

為什麼手動離職永遠有缺口？

平均一家新創用 40–60 個 SaaS 工具。你的離職清單可能只有 10 項。數學上就不對。當有人在壓力情境下離開，資遣、衝突、急著走，最後一件大家會想到的事，就是 Buffer 帳號或 Stripe 後台。

最常被漏掉的工具類別是：共享憑證（沒有 SSO，只有帳號密碼）、員工自己設定的工具、好幾個月沒被碰但仍活著的工具、以及員工本人是付款人的任何帳號。

依類別劃分的完整權限撤銷清單

把這個當你的主要參考。下面每一個工具類別，如果你沒有自動化系統，就代表一個潛在的權限缺口。

你需要管理的三層權限

第一層，身分（SSO/Google/Microsoft）： 如果你正確設定了 SSO，停用身分提供者的帳號就會連動每個串接的應用。這是黃金標準，但只涵蓋支援 SSO 的工具。

第二層，共享憑證： 這些是你的團隊共用一組登入的工具，社群媒體帳號、代理商工具、訂閱服務。密碼管理器有幫助，但它們不會把權限綁到在職狀態。當有人離開時，你必須手動把他從保險庫移除，而且改掉密碼。像 Optserv 這類人資感知工具會自動處理：把員工標記為離職，他就失去每一個共享帳號的存取權。密碼可以一次輪替，留下的隊友都會收到更新。

第三層，個別授權席次： 像 Figma、Notion、Zoom 這類，每個人都有自己席次的工具。這些需要逐一 deprovision。如果你用 SCIM 自動發放，這可以自動化。如果沒有，你需要一份清單。

怎麼把大部分自動化？

完整的自動化需要三個東西一起運作：一套知道在職狀態何時改變的人資系統、一個可以在收到人資訊號時停用帳號的身分層（Google Workspace 或 Microsoft 365）、以及一套把共享憑證權限綁到在職狀態的帳號共享系統。

Optserv 把人資層直接連到帳號共享層。當你在 Optserv 上把員工標記為離職時，他會自動失去所有存在平台中的共享帳號權限。沒有 IT 工單、沒有清單項目、沒有手動步驟。對 SSO 串接的工具，那由你的身分提供者處理。對共享憑證的工具，那由 Optserv 處理。

離職當天的劇本

即使有自動化，你也需要一個順序。乾淨的離職當天長這樣：

第一，在你的人資系統（Optserv、BambooHR 等）把員工標記為離職。這應該觸發任何人資串接工具的自動權限撤銷。第二，停用他的 Google 或 Microsoft 帳號，這會處理掉所有 SSO 串接的應用。第三，把他擁有的檔案、文件、儲存庫的所有權轉移。第四，輪替任何沒被你的帳號共享工具涵蓋到的共享帳號密碼。第五，把他從任何對外系統移除（Slack Connect 頻道、跟客戶共享的 Notion workspace 等）。

這就是整個劇本。目標是把第一步和第二步自動化，讓其他步驟成為剩下的唯一手動工作。