पूर्व कर्मचारी के पास एक्सेस: वो चुपचाप होने वाला लीक

अपना फोन उठाइए और झट से जवाब दीजिए: आज की तारीख में कितने लोग, जो अब आपके साथ काम नहीं करते, कंपनी के Google Drive में घुस सकते हैं? अगर आप दो सेकंड के लिए रुक गए, तो जवाब आपको पता है। आपके सिस्टम में एक्सेस रखने वाला पूर्व कर्मचारी ऐसा जोखिम है जो शोर नहीं करता, अलर्ट नहीं भेजता, किसी रिपोर्ट में नहीं दिखता। वह उसी दिन दिखता है जिस दिन देर हो चुकी होती है।

अगस्त 2026 में Apple ने अदालत में कहा कि और भी पूर्व कर्मचारी गोपनीय सामग्री OpenAI तक ले गए हो सकते हैं। वही Apple। दुनिया की सबसे सतर्क सुरक्षा टीमों में से एक वाली कंपनी, बीप करता बैज, अलग अलग हिस्सों में बंटी इमारत, ऐसे लोग जो बगल की मेज़ वाले साथी से भी अपने प्रोजेक्ट की बात नहीं कर सकते। अगर वहां ऐसा हो सकता है, तो दस लोगों और तीस SaaS अकाउंट वाला आपका ऑफिस सुरक्षित नहीं है। बस उस पर किसी की नज़र कम है।

बात चोरी की नहीं है, खुले रह गए दरवाज़े की है

सब लोग लीक को फिल्म की तरह सोचते हैं: रात तीन बजे कोई बंदा पेनड्राइव में फाइल कॉपी कर रहा है। असल में यह इससे कहीं ज़्यादा बोरिंग होता है।

यह वो सेल्स वाला है जिसने मार्च में क्लाइंट लिस्ट अपने निजी Google Sheets में भेज दी, क्योंकि ऐसे काम करना तेज़ था। जुलाई में उसने नौकरी छोड़ दी। शीट अब भी वहीं है, उसके अकाउंट में, आपके 4 हज़ार कॉन्टैक्ट और हर एक का औसत टिकट लेकर।

यह वो फ्रीलांस डिज़ाइनर है जो अब भी Figma की एडमिन है। यह वो इंटर्न है जो अब भी फाइनेंस के WhatsApp ग्रुप में है। यह वो ईमेल मार्केटिंग अकाउंट है जिसे किसी ने बंद नहीं किया क्योंकि किसी को याद ही नहीं कि बनाया किसने था।

इनमें से कोई भी विलेन नहीं है। ज़्यादातर को तो याद भी नहीं कि यह एक्सेस उनके पास है। पर डेटा आपके नियंत्रण से बाहर है, और "आपके नियंत्रण से बाहर" ही लीक की असली परिभाषा है, इरादा बुरा हो या नहीं।

जो डेटा निकल गया वो वापस नहीं आता। किसी और के क्लाउड में पड़ी चीज़ आप डिलीट नहीं कर सकते।

असली दिक्कत: आपको पता ही नहीं कितने अकाउंट हैं

अब आती है असहज करने वाली बात। एक्सेस हटाने से पहले आपको पता होना चाहिए कि एक्सेस है कहां कहां। और लगभग कोई छोटी कंपनी यह नहीं जानती।

एक टेस्ट कीजिए। पिछले 12 महीनों का कंपनी कार्ड स्टेटमेंट निकालिए और डॉलर में हुए हर अजीब नाम वाले चार्ज पर निशान लगाइए। Notion, Slack, Canva, Trello, Figma, Mailchimp, Calendly, कोई AI टूल, एक लिंक शॉर्टनर, वो कॉन्ट्रैक्ट साइन करने वाला ऐप। मैंने यह एक क्लाइंट के साथ किया था जो कसम खा रहा था कि उसके पास "करीब 6 टूल" हैं। हमने 31 गिने।

इकतीस दरवाज़े। हर एक की अपनी यूज़र लिस्ट, अपना परमिशन पैनल, अपना रिमूव बटन जो हर जगह अलग जगह छिपा होता है। इसीलिए ऑफबोर्डिंग कभी पूरी नहीं होती: लिस्ट किसी के पास होती ही नहीं।

और एक आधुनिक पेच भी है। आजकल बहुत सारे टूल दूसरे से "Google से लॉगिन करें" के ज़रिए जुड़ते हैं। जब आप उस व्यक्ति का Google अकाउंट बंद करते हैं, तो कुछ कनेक्शन साथ में गिर जाते हैं, कुछ नहीं। जिनका अपना पासवर्ड है वो ज़िंदा रहते हैं, इस बात से बेपरवाह कि बंदा बैज लौटा चुका है।

जिस शुक्रवार कोई कंपनी छोड़े, उस दिन क्या करें

न महंगे सॉफ़्टवेयर की ज़रूरत है, न कंसल्टेंसी की। ज़रूरत है एक लिस्ट की और तीस मिनट की। इसी क्रम में कीजिए:

• सबसे पहले ईमेल। किसी भी चीज़ से पहले Google Workspace या Microsoft 365 का अकाउंट सस्पेंड कीजिए। यही मास्टर चाबी है: बाकी टूल्स का लगभग हर "पासवर्ड भूल गया" वहीं से गुज़रता है। सस्पेंड कीजिए, डिलीट नहीं, फाइलें आपको आगे चाहिए होंगी।
• फिर वो जिनमें पैसा है। बैंक, पेमेंट गेटवे, ऐड पैनल, इनवॉइस सिस्टम। यहां नुकसान तुरंत होता है और नापा जा सकता है।
• फिर वो जिनमें क्लाइंट हैं। CRM, सेल्स शीट, ईमेल टूल, WhatsApp Business। आपका क्लाइंट बेस आपकी सोच से ज़्यादा कीमती है, और ले जाने में सबसे आसान चीज़ भी यही है।
• फिर बाकी सब। डिज़ाइन, प्रोजेक्ट मैनेजमेंट, डॉक्युमेंटेशन, कोड रिपॉज़िटरी।
• आखिर में शेयर किए गए पासवर्ड। वो एक Canva लॉगिन जो आठ लोग इस्तेमाल करते हैं। बदल दीजिए। अगर उस व्यक्ति को पासवर्ड पता था, तो अब भी पता है।

एक चीज़ जो लगभग कोई नहीं करता और जो पूरा खेल बदल देती है: सस्पेंड करने से पहले Drive की फाइलों की ओनरशिप किसी और को ट्रांसफर कर दीजिए। अगर आपने सिर्फ सस्पेंड किया, तो डॉक्युमेंट एक अजीब सी हालत में फंस जाते हैं और बाद में निकालना बहुत झंझट का काम बन जाता है। वहां लगे पांच मिनट पूरी दोपहर बचा देते हैं।

"पर मुझे अपनी टीम पर भरोसा है"

बढ़िया, भरोसा बनाए रखिए। चेकलिस्ट अविश्वास की बात नहीं है, यह उस बात की है कि जब याददाश्त धोखा दे तब क्या हो।

ऐसे सोचिए: आपको अपने अकाउंटेंट पर भरोसा है, फिर भी आप रसीदें संभालकर रखते हैं। आपको अपनी टीम पर भरोसा है, फिर भी लिखित कॉन्ट्रैक्ट होता है। एक्सेस हटाना उसी परिवार की चीज़ है। यह सफाई है, आरोप नहीं।

और एक पहलू है जो खुद उस व्यक्ति को बचाता है। अगर आपकी कंपनी का डेटा लीक होता है और पूर्व कर्मचारी का लॉगिन अब भी चालू था, तो वह अपने आप शक के घेरे में आ जाता है, चाहे उसने कुछ किया ही न हो। निकलते वक्त दरवाज़ा बंद करना दोनों पक्षों को बचाता है।

एक व्यावहारिक बात: एक्सेस हटाने को ऑफबोर्डिंग प्रक्रिया का हिस्सा बनाइए, लैपटॉप लौटाने के साथ ही। लैपटॉप कोई "जब याद आएगा तब" नहीं लौटाता। उसी दिन लौटाता है। एक्सेस भी वैसे ही काम करना चाहिए।

ऑटोमेशन कहां फिट होती है, बिना छह महीने का प्रोजेक्ट बने

आपको आइडेंटिटी गवर्नेंस प्लेटफॉर्म की ज़रूरत नहीं है। दो सीधी चीज़ों की ज़रूरत है।

पहली है एक जीती जागती इन्वेंट्री। सच में, एक स्प्रेडशीट काफी है। कॉलम: टूल, किस काम का है, पैसे कौन देता है, एडमिन कौन है, एक्सेस किसके पास है। जब कोई जॉइन करे और जब कोई छोड़े, तब अपडेट कीजिए। मैंने यह शीट ऐसे टूल की सब्सक्रिप्शन में हर महीने R$ 1.400 बचाते देखी है जिसे कोई इस्तेमाल ही नहीं कर रहा था, और यह बचत लगभग हमेशा शीट बनाने की मेहनत की भरपाई कर देती है।

दूसरी है कंप्यूटर से याद रखवाना। एक ऑफबोर्डिंग फॉर्म जो अपने आप चेकलिस्ट चालू कर दे, टास्क बना दे, जिसे करना है उसे नोटिफाई करे और तब तक पीछे पड़ा रहे जब तक सब बंद न हो जाए। यह आधा दर्जन स्टेप की ऑटोमेशन है, कोई सिस्टम नहीं। यह उसी टूल में चल जाती है जिसके पैसे आप शायद पहले से दे रहे हैं।

फायदा तकनीकी नहीं, इंसानी है। किसी का जाना अक्सर भारी दिन होता है, कभी कभी तनाव भरा, और ठीक उसी वक्त ध्यान बिखर जाता है। ऑटोमेटेड प्रक्रिया को किसी पर तरस नहीं आता और वह Figma भूलती नहीं।

कुछ न करने की कीमत

इस पर आंकड़ा रखना ज़रूरी है, क्योंकि अमूर्त जोखिम को कोई प्राथमिकता नहीं देता।

अगर आपका क्लाइंट बेस किसी प्रतिस्पर्धी तक पहुंच जाए, तो उसकी कीमत कितनी है? अगर गोपनीयता की शर्त वाला कॉन्ट्रैक्ट उस एक्सेस की वजह से टूटे जो आपने खुला छोड़ दिया था, तो जवाब कौन देगा? डेटा सुरक्षा कानून यह नहीं पूछता कि लापरवाही से हुआ या नहीं। वह पूछता है कि निजी डेटा तक कौन पहुंच रहा था, इस पर आपका नियंत्रण था या नहीं। "हम उसका एक्सेस हटाना भूल गए" कोई अच्छा बचाव नहीं है।

Apple के पास पूरी टीम है और फिर भी वह यह मामला अदालत में लड़ रही है। आपके पास पूरी टीम नहीं होगी। एक स्प्रेडशीट और एक चेकलिस्ट होगी, और सच कहूं तो आपके पैमाने पर यही 90% समस्या हल कर देती है।

अगर आप अपनी कंपनी के टूल्स की मैपिंग करना चाहते हैं और यह ऑफबोर्डिंग प्रक्रिया ऐसी बनानी है कि वह खुद चले, तो मुझसे बात करने के लिए संपर्क करें। यह आमतौर पर आपकी सोच से जल्दी हो जाता है, और उसके बाद नींद बेहतर आती है।

आज की तारीख में कितने लोग, जो अब आपके साथ काम नहीं करते, कंपनी के Drive में घुस सकते हैं?

अगर आप दो सेकंड के लिए रुक गए, तो जवाब आपको पता है।

अगस्त 2026 में Apple ने अदालत में कहा कि और भी पूर्व कर्मचारी गोपनीय सामग्री ले गए हो सकते हैं। वही Apple। बीप करता बैज, अलग अलग हिस्सों में बंटी इमारत, बेहद सतर्क सुरक्षा टीम।

दस लोगों और तीस SaaS सब्सक्रिप्शन वाला आपका ऑफिस भी सुरक्षित नहीं है। बस उस पर किसी की नज़र कम है।

और यह लगभग कभी जासूसी फिल्म जैसा नहीं होता। यह वो क्लाइंट शीट है जो सेल्स वाले ने मार्च में अपने निजी Gmail पर भेज दी और जुलाई में नौकरी छोड़ दी। यह वो फ्रीलांसर है जो अब भी Figma का एडमिन है। यह वो शेयर किया हुआ Canva लॉगिन है जो आठ लोगों को ज़ुबानी याद है।

कोई विलेन नहीं है। पर आपके नियंत्रण से बाहर गया डेटा लीक ही है, इरादा बुरा हो या नहीं।

महंगे सॉफ़्टवेयर की ज़रूरत नहीं। ज़रूरत है टूल्स की एक लिस्ट की और उस शुक्रवार के तीस मिनट की जब कोई कंपनी छोड़ता है।

चाहते हैं कि ज़रूरत पड़ने से पहले यह चेकलिस्ट बनाने में मैं आपकी मदद करूं? मुझे मैसेज करें।

#सूचनासुरक्षा #डेटासुरक्षा #व्यवसायप्रबंधन #ऑटोमेशन #छोटेव्यवसाय