Im März ausgeschieden.
Und Sie zahlen immer noch für sie.
Der Identitätsanbieter hat das Konto am ersten Tag deaktiviert. Die Figma-Nutzerlizenz, die Notion-Nutzerlizenz, die OAuth-Berechtigung mit Lesezugriff auf das Firmenlaufwerk und der SAP Named User sind alle noch aktiv.
CerteroX SaaS Management schließt jedes davon und bewahrt den Beleg auf.
Offboarding-Checkliste
BeispielhaftAusgeschieden · 118 Tage seit dem letzten Arbeitstag
Entzugsstatus pro Lizenz, pro Konnektor
- Entra-ID-Konto durch den Joiner-Mover-Leaver-Prozess deaktiviert
- geschlossen · Tag 1
- Microsoft 365 E5 in den Pool zurückgeholt
- geschlossen · Tag 1
- Figma nie eine Konnektoraktion angefordert
- noch zugewiesen
- Notion Entzug eingereiht
- läuft
- OAuth-Berechtigung · Laufwerk lesen vor 2 Jahren erteilt, seit 118 Tagen ruhend
- aktiv · Risiko 78
Verschwendete Ausgaben, dieser Benutzer
fällt weiter monatlich an
Ausgeschiedene Mitarbeitende kosten weiter Geld, nachdem sie gegangen sind.
Das Hauptkonto zu deaktivieren ist nur der erste von vielen Schritten. Die Nutzerlizenz im Design-Tool, der Projekt-Tracker, die Drittanbieter-App mit Zugriff auf das Firmenlaufwerk und der ERP-Benutzer bleiben oft monatelang aktiv, bezahlt und offen für Missbrauch. CerteroX arbeitet jeden einzelnen davon ab und dokumentiert jeden Schritt.
- Kosten
Zahlen Sie nicht mehr für ehemalige Mitarbeitende.
Nutzerlizenzen und weitere Lizenzen werden beim Austritt freigegeben, und alles, was noch offen ist, wird mit seinen monatlichen Kosten angezeigt.
- Risiko
Schließen Sie die Türen hinter ihnen.
Zugriffe externer Anwendungen werden im selben Prozess entzogen, damit die Zugangsdaten ehemaliger Mitarbeitender nicht zum Einfallstor für andere werden.
- Aufwand
Beantworten Sie Auditfragen ohne Suchaktion.
Für jede ausgeschiedene Person können Sie zeigen, was wann entfernt wurde, ohne Screenshots aus zwanzig verschiedenen Admin-Konsolen zu sammeln.
Das Problem
Das Konto zu deaktivieren ist Schritt eins von etwa zwanzig.
Darüber streitet niemand. Das Problem: Die Schritte zwei bis zwanzig liegen in zwanzig verschiedenen Admin-Konsolen, und kein einzelnes System weiß, dass die Liste unvollständig ist.
46%
der SaaS-Lizenzen bleiben ungenutzt; die durchschnittliche Organisation nutzt 54 %
Bei ausgeschiedenen Benutzern lässt sich dieser Anteil am einfachsten zurückgewinnen, denn niemand wird widersprechen.
- 01 Anmeldung gesperrt, Lizenz aktiv
Die Nutzerlizenz überlebt das Konto.
Eine Anmeldesperre stoppt den Zugriff. Sie gibt die Nutzerlizenz aber nicht frei, und die meisten Anbieter berechnen eine zugewiesene Lizenz weiter, egal ob jemand darauf zugreifen kann. Für die Einsparung braucht es eine Aktion beim Anbieter, über den Konnektor, der die Benutzerliste dieses Anbieters hält.
Konnektor-Synchronisierung, die maßgebliche Benutzer- und Lizenzlisten direkt vom Anbieter abruft SaaS Management
- 02 die Berechtigung überdauert das Konto
Eine Drittanbieter-App hat noch Lesezugriff, und ihre Zustimmung kam von einem Postfach, das es nicht mehr gibt.
Eine OAuth-Berechtigung überdauert die Sitzung, in der sie erteilt wurde. Gerade wenn sie ruht, bemerkt sie niemand, und gerade dann lohnt es sich, sie zu prüfen.
Risikobewertung von OAuth-Berechtigungen nach Sensibilität, Umfang, Einwilligung und Inaktivität SaaS Management
- 03 jeder Anbieter ist anders
Einer Ihrer Anbieter hat überhaupt keine API zum Sperren.
HubSpot kann nicht sperren, also entziehen Sie entweder Rollen oder löschen. Bei Box muss vor der Deaktivierung der Dateibesitz übertragen werden, sonst verschwinden die Dateien mit dem Benutzer. ServiceNow verlangt, dass das Konto gesperrt und jede Rolle und Gruppenmitgliedschaft entzogen wird. Ein generischer Aufruf „Benutzer deaktivieren“ leistet nichts davon.
Bereitstellung und Entzug über Entra, Okta, Google, M365 und weitere SaaS Management
- 04 niemand kann den Abschluss belegen
Ein geschlossenes Ticket ist der einzige Nachweis, den irgendjemand hat.
Fragen Sie, welche Lizenzen die ausgeschiedene Person an ihrem letzten Tag hatte und was mit jeder einzelnen passiert ist. Wenn die Antwort ein geschlossenes Ticket ist, ist die Lücke offen, und Sie sehen nicht, wie groß sie ist.
Offboarding-Checkliste pro Nutzer mit Entzugsstatus pro Lizenz SaaS Management
- Ein Offboarding-Prozess, den Sie nicht prüfen können, ist eine Abrechnungsvereinbarung mit Ihren ehemaligen Mitarbeitenden und eine Dauereinladung an jeden, der deren Zugangsdaten besitzt.
Drei der fünf Disziplinen.
Jedes Produkt läuft eigenständig und nutzt dasselbe Asset-Modell, daher erfordern produktübergreifende Aufgaben keinen Integrationsaufwand.
- Primär CerteroX SaaS Management Entzug pro Lizenz, anbieterspezifischer Entzug und die Workflow-Engine, die das steuert. Mehr erfahren
- Gilt auch für CerteroX ITAM Das Gerät, die Mobilgeräte-Registrierung und die Verzeichnisobjekte, die zur Person gehören. Mehr erfahren
- Gilt auch für CerteroX SAM Named-User- und gerätebezogene Lizenzansprüche werden an die Lizenzposition zurückgegeben. Mehr erfahren
Sie sehen die vollständigen technischen Details. Schalten Sie sie aus, um die Kurzfassung zu sehen.
Technische Details ausblendenVom Austrittsdatensatz bis zur leeren Liste.
Ein geschlossener Kreislauf führt selbst Buch darüber, was noch nicht erledigt ist.
-
Auslösung aus der maßgeblichen Quelle
Der Austrittsstatus kommt vom Identitätsanbieter, an dem Tag, an dem das Konto deaktiviert wird.
- Synchronisierung von Identitätsanbietern aus Entra ID und Okta, inklusive MFA-Registrierung SaaS Management
- Workflow-Engine: 8 Auslöser, 11 Bedingungen, 13 Aktionen auf einer Arbeitsfläche SaaS Management
- Active-Directory-Import von Benutzern, Gruppen, Computern, Standorten und Subnetzen ITAM
-
Alles auflisten, was die Person hatte
Was die Anbieter als vorhanden melden, Konnektor für Konnektor zurückgelesen.
- Konnektor-Synchronisierung, die maßgebliche Benutzer- und Lizenzlisten direkt vom Anbieter abruft SaaS Management
- Erkennung von OAuth-Berechtigungen für genehmigte Drittanbieter-Anwendungen SaaS Management
- Offboarding-Checkliste pro Nutzer mit Entzugsstatus pro Lizenz SaaS Management
- Mobile Device Management für iOS und Android, inklusive Apple DEP ITAM
-
So entziehen, wie es jeder Anbieter verlangt
Dreizehn Workflow-Aktionen und Konnektoren, die den Unterschied zwischen Sperren, Entziehen und Löschen kennen.
- Bereitstellung und Entzug über Entra, Okta, Google, M365 und weitere SaaS Management
- Aktionen: zurückholen, neu zuweisen, Stufe herabsetzen, archivieren, erinnern, verwerfen SaaS Management
- Entzug von Berechtigungen mit einem Klick, auch als Workflow-Aktion verfügbar SaaS Management
- Assistent für den Massenentzug beim Offboarding mehrerer Nutzer SaaS Management
-
Abschluss belegen und Offenes beziffern
Ein offener Punkt mit monatlichen Kosten wird erledigt. Ein offener Punkt auf einer Checkliste nicht.
- Kennzahl für verschwendete Ausgaben bei Lizenzen, die noch ausgeschiedenen Mitarbeitenden zugeordnet sind SaaS Management
- Audit-Log für jeden Bereitstellungs- und Entzugsschritt SaaS Management
- Sechsstufiges Rollenmodell einschließlich einer eigenen Auditor-Rolle SaaS Management
- Realisierte Einsparungen, realisierte vermiedene Kosten und ROI nach Geschäftsquartal SaaS Management
Lassen Sie sich jede dieser Funktionen direkt im Produkt zeigen, auf dem Bildschirm, auf dem sie stattfindet.
So sieht der Zielzustand aus.
Die Reife Ihres Offboardings lässt sich mit einer Frage messen: Was kostet es Sie gerade jetzt?
- 01
Sie können die Frage für jede ausgeschiedene Person beantworten.
Jede Lizenz, die die Person hatte, der Konnektorstatus dahinter und ob der Entzug aussteht, läuft oder abgeschlossen ist. Auf einem Bildschirm, für alle, die jemals ausgeschieden sind.
- 02
Offene Punkte haben einen Preis.
Die Kennzahl für verschwendete Ausgaben weist für Lizenzen, die ausgeschiedenen Benutzern noch zugewiesen sind, geschätzte monatliche Kosten aus. Eine Zahl kommt schneller durch einen Service Desk als eine Erinnerung.
- 03
Der Entzug berücksichtigt die Eigenheiten jedes Anbieters.
Soft-Modus, wo es keine API zum Sperren gibt, Übertragung des Dateibesitzes vor der Deaktivierung, wo sonst Dateien verloren gingen, Entzug von Rollen und Gruppen, wo ein Konto nicht einfach entfernt werden kann.
- 04
Berechtigungen werden im Austritts-Workflow entzogen.
Entzug mit einem Klick für Drittanbieter-Anwendungen mit erteilter Zustimmung, und derselbe Entzug als automatisierte Aktion im Austritts-Workflow.
- 05
Ein Auditor kann es ohne Sie prüfen.
Eine eigene Auditor-Rolle in einem sechsstufigen Modell, mit einem Audit-Log für jeden Bereitstellungs- und Entzugsschritt. Nachweise, die Sie nicht zusammentragen müssen.
Häufig gestellte Fragen
Sie möchten eine andere Frage stellen?
Kontakt aufnehmenUnser Identitätsanbieter entzieht den Zugriff schon beim Austritt. Reicht das nicht?
Für den Zugriff reicht das, für die Kosten nicht, und es erreicht nur Anwendungen hinter SSO. Alles, was außerhalb des Identitätsmanagements gekauft wurde, also der Großteil der Schatten-IT, behält seine Nutzerlizenz und seine Rechnung. Die Konnektor-Synchronisierung liest die maßgebliche Benutzerliste beim Anbieter, dem einzigen Ort, der weiß, dass die Lizenz noch zugewiesen ist.
Wie geht es mit Anwendungen ohne API für den Entzug um?
Der Konnektor behandelt das ausdrücklich. Wo ein Anbieter nicht sperren kann, bietet der Konnektor einen Soft-Modus, der Rollen entzieht, und einen Hard-Modus, der löscht, und die Checkliste zeigt, welcher lief. Wo ein Anbieter eine Abfolge verlangt, etwa die Übertragung des Dateibesitzes vor der Deaktivierung, führt der Konnektor diese Abfolge aus.
Kann es ohne menschliches Eingreifen laufen?
Das kann es, und für den größten Teil der Liste sollte es das auch. Die Workflow-Engine bietet 8 Auslöser, 11 Bedingungen und 13 Aktionen auf einer Arbeitsfläche. Entzüge mit geringem Risiko laufen automatisch, und alles, was Datenbesitz oder ein geteiltes Postfach berührt, geht zuerst an eine Person.
Was ist mit dem Laptop, dem Smartphone und den Lizenzen darauf?
Dieselbe Plattform. Der Gerätedatensatz, die Mobilgeräte-Registrierung einschließlich Apple DEP und die darauf installierte Software liegen alle im selben Asset-Modell. Gerätebezogene Lizenzansprüche fließen so am Austrittstag in die Lizenzposition zurück.
Wir haben Tausende frühere Austritte. Wo fangen wir an?
Mit dem Assistenten für den Massenentzug und einer Sortierung nach verschwendeten Ausgaben. Der Assistent mit Mehrfachauswahl arbeitet den Rückstand in Stapeln ab, die höchsten Kosten zuerst. Realisierte Einsparungen werden anschließend nach Geschäftsquartal verfolgt, sodass das Aufräumen eine Zahl hat.
Öffnen Sie einen Austritt aus dem letzten Jahr.
Sehen Sie, was die Person noch hat.
Die Offboarding-Checkliste von Anfang bis Ende: jede Lizenz, die nach der Deaktivierung des Kontos noch zugewiesen ist, Entzug ausstehend oder abgeschlossen, und monatliche Kosten in jeder Zeile. Nennen Sie uns die Anbieter, bei denen Ihre ausgeschiedenen Mitarbeitenden hängen bleiben, und wir bauen den Termin darauf auf.
Es braucht nur einen Termin und keine Anbindung, mit einer technischen Ansprechperson im Gespräch, der Sie auf den Zahn fühlen können.