Varför timing avgör allt
De flesta IT-avdelningar gör en av två fel: stänger för tidigt (personen kan inte slutföra arbetet, lämnar med bitterhet) eller stänger för sent — eller aldrig. Den senare är den dyra varianten.
Ett konto som fortfarande fungerar efter att behovet upphört bryter mot principen om minsta privilegium och kan ge åtkomst till personuppgifter, kunddata eller administrativa funktioner.
Bestäm avstängningstid utifrån sista arbetspass, eventuell arbetsbefrielse, riskbedömning och beslutad överlämning. Dokumentera tidpunkten i förväg och ha en separat akutprocess för situationer där åtkomst måste stoppas omedelbart.
Inventarisering — vad ska faktiskt stängas?
Innan något stängs av måste du veta vad personen har åtkomst till. Börja med identitetsplattformen men kontrollera även system som har egna konton:
- Identitets-system: Active Directory, Azure AD / Entra ID, Google Workspace, Okta, Auth0.
- Produktivitet: Microsoft 365 (Outlook, OneDrive, Teams, SharePoint), Google Workspace (Gmail, Drive, Meet), Slack.
- Branschsystem: CRM (HubSpot, Salesforce, Lime), ekonomi (Fortnox, Visma, Bokio), HR (Hailey, Sympa).
- Utveckling/IT: GitHub, GitLab, Bitbucket, AWS, Azure, GCP, Vercel, databas-credentials.
- Tredje parts: Klarna, Tink, banker (företagskonto), pensionsleverantör, leverantörsportaler.
- Privilegierad åtkomst: domänadmin, Microsoft 365 Global Admin, AWS root, GitHub-org-admin, ekonomisystem-admin.
- Fysiskt: passerkort, dörrkod, parkeringsticket, garageöppnare, nyckel.
- Hårdvara: laptop, mobil, headset, externa hårda diskar, USB-stickor, YubiKey/MFA-tokens.
Avstängningsprocessen — steg för steg
- Blockera inloggning först. Säkra nödvändig verksamhetsdata och följ därefter den beslutade livscykeln för arkivering och radering.
- Planera hantering av postlådan enligt verksamhetsbehov, dataskydd och Microsofts aktuella licensregler. Undvik obegränsad åtkomst för en tidigare chef.
- Sätt ett tidsbegränsat autosvar med ny kontaktväg när det behövs. Vidarebefordra inte all personlig e-post slentrianmässigt.
- Överför verksamhetsfiler till en kontrollerad teamyta innan kontots livscykel avslutas. Kontrollera leverantörens aktuella återställnings- och retentionregler.
- Återkalla MFA-enheter (Authenticator-appen, SMS-nummer, hardware-tokens).
- Återkalla aktiva sessioner i Entra ID och kontrollera även appar med egna sessioner eller tokens.
- Privilegierade roller tas bort först, vanliga konton sist. Domain Admin, Global Admin, Security Admin är högst prio.
- Stäng inloggning före radering. Överför data och kontrollera Google Workspaces aktuella återställningsregler innan kontot tas bort.
- Överlämna Drive-filer till chef via Admin Console innan suspension.
- Sätt vidarebefordran + auto-svar via Gmail-inställningar eller via Admin.
- Återkalla 2-stegsverifiering och appspecifika lösenord.
- Samordna VPN med identitetskontot. Använder du certifikatbaserad VPN ska även det personliga certifikatet återkallas.
- Kontrollera bevarade fjärrsessioner. RDP/SSH-sessioner med cached credentials kan leva kvar.
- Wifi. Om enterprise-WiFi använder personliga credentials — koppla bort. Om gemensam PSK — överväg byte vid kritiska roller.
- Bastion / jump-host åtkomst återkallas separat — inte alltid kopplat till AD.
- Lista varje system manuellt. Det här är fasen som tar mest tid och där flest företag glömmer en eller två system.
- Kontakta varje leverantör som har separata användarkonton. Klarna, Tink, Bankid Företag, leverantörsportaler — många har inget API för deprovisionering, det måste göras via support eller admin-portal.
- Företagskreditkort & betalkort spärras eller överförs.
- Mobilabonnemang sägs upp eller överförs till personen privat.
- MDM wipe av jobbtelefon vid återlämning. Verifiera att alla företagsappar och data är borta innan personen går.
- BYOD-enheter: selective wipe av företagsdata (e-post, OneDrive, Slack, branschappar) — inte hela telefonen.
- Konfigurationsprofiler tas bort så jobb-mejl och VPN inte längre når enheten.
- Passerkort avaktiveras i passersystemet vid sista arbetsdag.
- Nycklar & koder återlämnas och bytarutiner vid kritiska roller.
- Hårdvara returneras med kvitto: laptop, mobil, headset, dockning, externa skärmar, USB-stickor, YubiKeys.
- Tjänstebil återlämnas med besiktningsprotokoll.
GDPR-kopplingen
Kvarvarande åtkomst kan innebära att personuppgifter inte skyddas med lämpliga tekniska och organisatoriska åtgärder. GDPR kräver bland annat integritet och konfidentialitet samt en säkerhetsnivå som är lämplig i förhållande till risken.
Dokumentera därför vilka konton som stängdes, när det skedde, vem som utförde åtgärden och hur resultatet verifierades. Loggen ska vara tillräcklig för kontroll utan att innehålla lösenord eller andra hemligheter.
Källor och faktagranskning
Senast faktagranskad: 14 september 2026. Kontrollera alltid leverantörernas aktuella dokumentation innan konton ändras eller raderas.
Eller — låt en orkestrerad process köra
Manuellt deprovisioneringsarbete kräver en checklista, en tidsangivelse, och en person som faktiskt går igenom listan punkt för punkt. Det går — men felaktigt utförandet är en av de vanligaste sårbarheterna vid säkerhetsgranskningar.
Enkelservice Offboarding kan användas för att samla uppgifterna, tilldela ansvariga och följa status. Själva kontoåtgärderna utförs och verifieras i respektive identitets- eller verksamhetssystem.