Dostępy do kont social media: bezpieczny proces

Dostępy do kont social media uporządkujesz bez przekazywania wspólnego hasła. Każda osoba powinna korzystać z własnego konta, otrzymać rolę dopasowaną do zadań i stracić ją w dniu zakończenia współpracy. Zacznij od spisu profili, właścicieli i administratorów, a potem ogranicz pełną kontrolę do dwóch zaufanych osób. Taki proces zmniejsza ryzyko przypadkowego usunięcia treści, utraty konta po odejściu pracownika i braku dostępu podczas urlopu właściciela firmy.

Dostępy do kont social media zacznij od inwentaryzacji

Utwórz rejestr obejmujący Facebook, Instagram, LinkedIn, TikTok, YouTube oraz konta reklamowe i analityczne. Dla każdego zasobu zapisz nazwę platformy, adres profilu, firmowego właściciela, osoby z dostępem, ich role, datę ostatniego przeglądu i metodę odzyskiwania. Nie wpisuj do arkusza haseł ani kodów zapasowych.

Sprawdź także zasoby powiązane z profilem: konto reklamowe, piksel, katalog produktów, formularze leadowe, numer rozliczeniowy oraz aplikacje zewnętrzne. Osoba może zniknąć z listy administratorów strony, a nadal zachować uprawnienia do reklam lub narzędzia połączonego z kontem.

Wyznacz właściciela biznesowego dla każdego profilu. To osoba, która zatwierdza nowe dostępy i odpowiada za ciągłość działania, nawet jeśli codzienną publikację prowadzi specjalista albo agencja. Dodaj jednego zastępcę z pełnymi prawami. Dane kontaktowe i sposób reakcji na utratę dostępu wpisz do planu kryzysowego w social media.

Dobierz rolę do rzeczywistego zadania

Zastosuj zasadę najmniejszych uprawnień: osoba otrzymuje wyłącznie funkcje potrzebne do swojej pracy. Twórca treści potrzebuje publikowania, moderator komentarzy potrzebuje obsługi społeczności, a analityk dostępu do wyników. Żadna z tych funkcji sama w sobie nie uzasadnia prawa do usuwania profilu lub dodawania kolejnych administratorów.

Na Facebooku dostęp z pełną kontrolą pozwala zarządzać ustawieniami i uprawnieniami, usuwać innych administratorów, a nawet usunąć stronę. Meta opisuje też dostęp częściowy oraz dostęp zadaniowy wykorzystywany w narzędziach biznesowych. Dlatego pełną kontrolę zostaw właścicielowi i zastępcy, a pozostałym osobom nadaj zakres operacyjny zgodnie z dokumentacją dostępu do strony Facebooka.

LinkedIn rozdziela administrację strony na trzy role. Superadministrator zarządza administratorami i wszystkimi polami strony. Administrator treści publikuje, komentuje, obsługuje wiadomości na kwalifikujących się stronach i może przeglądać statystyki. Analityk może wyświetlać oraz eksportować analitykę, lecz nie publikuje postów. Pełną tabelę funkcji znajdziesz w centrum pomocy LinkedIn. Osobie prowadzącej newsletter na LinkedIn dla firmy zwykle wystarczy rola administratora treści.

TikTok Business Center używa podstawowych ról Admin i Standard. Admin ma pełny dostęp do funkcji centrum, natomiast użytkownik Standard pracuje tylko na przypisanych kontach i zasobach. Uprawnienia finansowe są przydzielane osobno jako Finance Manager lub Financial Analyst. Specjalista od treści nie powinien więc otrzymywać dostępu do płatności tylko dlatego, że publikuje filmy.

Przy większym zespole przygotuj prostą macierz odpowiedzialności. W wierszach umieść zadania: publikacja, moderacja, reklamy, analiza, rozliczenia i zarządzanie użytkownikami. W kolumnach wpisz osoby, a w komórkach oznacz wykonawcę oraz zatwierdzającego. Jedno zadanie powinno mieć jednego właściciela decyzji. Jeśli ta sama osoba publikuje, zatwierdza własne materiały i zarządza wszystkimi dostępami, zaplanuj choćby miesięczną kontrolę przez właściciela firmy. Macierz ułatwia też dobór zastępstwa na urlop bez przyznawania całemu zespołowi najwyższej roli.

Jak nadawać uprawnienia bez wspólnego hasła

Każdy dostęp powinien zaczynać się od zgłoszenia zawierającego cztery informacje: kto go potrzebuje, do jakiego zasobu, w jakim celu i na jak długo. Właściciel profilu zatwierdza wniosek, a administrator wysyła zaproszenie na imienne konto użytkownika. Po akceptacji sprawdza z tą osobą jedną dozwoloną czynność i potwierdza, że funkcje administracyjne pozostają niedostępne.

Przykład: pracownik odpowiadający na wiadomości otrzymuje możliwość obsługi skrzynki i komentarzy, lecz nie zarządza ludźmi ani rozliczeniami. Zakres obowiązków możesz oprzeć na procesie obsługi wiadomości w social media. Dostęp czasowy dla fotografa lub freelancera powinien mieć zapisaną datę zakończenia już w chwili nadania.

Włącz uwierzytelnianie dwuskładnikowe na kontach osób z uprawnieniami administracyjnymi. Preferuj aplikację uwierzytelniającą albo klucz sprzętowy, jeśli platforma je obsługuje. Kody zapasowe przechowuj w firmowym menedżerze haseł, do którego ma dostęp właściciel i wyznaczony zastępca.

Osobno zatwierdzaj integracje z narzędziami zewnętrznymi. Przed połączeniem sprawdź, jakich kont i działań żąda aplikacja, kto jest właścicielem subskrypcji oraz jak cofnąć autoryzację. Kryteria oceny takiego rozwiązania opisuje poradnik o wyborze programu do planowania postów. Po rezygnacji z aplikacji usuń jej połączenie na platformie, zamiast poprzestawać na anulowaniu płatności.

Odbieranie dostępu zaplanuj przed rozstaniem

Offboarding powinien być częścią zakończenia umowy z pracownikiem, freelancerem lub agencją. Przy planowanym odejściu odbierz role w ostatnim dniu pracy. Gdy istnieje ryzyko konfliktu albo nieautoryzowanej zmiany, administrator powinien usunąć dostęp przed przekazaniem informacji o zakończeniu współpracy, zgodnie z wewnętrzną procedurą firmy.

Nie ograniczaj kontroli do listy administratorów profilu. Usuń użytkownika z portfolio biznesowego, kont reklamowych, katalogów, pikseli, formularzy leadowych i narzędzi analitycznych. Cofnij autoryzacje aplikacji, zakończ aktywne sesje na firmowych urządzeniach i zmień hasło wszędzie tam, gdzie było znane tej osobie. Jeśli używała firmowego adresu e-mail jako metody odzyskiwania, przekaż skrzynkę zgodnie z polityką IT.

Poproś też o przekazanie plików źródłowych, kalendarza treści, listy bieżących kampanii i informacji o zaplanowanych publikacjach. Na koniec właściciel profilu powinien zalogować się samodzielnie, sprawdzić możliwość publikacji oraz pobrać aktualną listę osób i partnerów z dostępem.

Audytuj role co kwartał i po każdej zmianie

Raz na kwartał porównaj rejestr z ustawieniami każdej platformy. Usuń nieznane konta, dawne agencje i role, których zakres przekracza bieżące obowiązki. Sprawdź, czy nadal istnieją dwie osoby zdolne odzyskać kontrolę, czy ich adresy e-mail należą do firmy oraz czy uwierzytelnianie dwuskładnikowe działa.

Przeprowadź dodatkowy audyt po zmianie agencji, odejściu pracownika, zgubieniu telefonu, wykryciu podejrzanej sesji albo podłączeniu nowej aplikacji. Zapisz datę, osobę wykonującą kontrolę i wprowadzone korekty. Dzięki temu dostęp przestaje opierać się na pamięci właściciela.

Na koniec nadaj każdemu profilowi prosty status: kompletny, wymaga korekty albo krytyczny. Status krytyczny oznacza na przykład jedynego administratora spoza firmy lub brak działającej metody odzyskania. Takie przypadki popraw od razu. Uporządkowane dostępy do kont social media dają zespołowi swobodę codziennej pracy, a firmie zachowują kontrolę nad marką, danymi i budżetem.