Offboarding Karyawan: Checklist Keamanan Microsoft 365 Saat Resign

Saat karyawan resign, dipecat, atau berpindah divisi, perhatian perusahaan biasanya tertuju pada serah terima pekerjaan dan urusan administrasi HR. Padahal ada satu area yang sering terlewat dan berisiko tinggi: akses digital karyawan tersebut ke sistem perusahaan. Akun Microsoft 365 yang tidak segera diamankan setelah karyawan keluar bisa menjadi celah keamanan — mulai dari akses email yang masih aktif berbulan-bulan, hingga file sensitif di OneDrive yang tetap bisa diunduh dari perangkat pribadi mantan karyawan.

Artikel ini merangkum checklist offboarding karyawan yang lengkap khusus untuk lingkungan Microsoft 365 — menyatukan langkah-langkah yang selama ini tersebar di berbagai topik seperti Microsoft Teams, OneDrive, dan shared mailbox menjadi satu prosedur baku yang bisa langsung diterapkan tim HR dan IT Anda.

Kenapa Offboarding Sering Diabaikan?

Kebanyakan perusahaan sudah punya prosedur onboarding yang rapi — membuat akun baru, memberi lisensi, mengatur akses. Tapi prosedur sebaliknya, offboarding, jarang didokumentasikan sama detailnya. Akibatnya, langkah pengamanan akun sering bergantung pada ingatan admin IT saat itu, bukan checklist baku — dan celah keamanan paling banyak justru muncul dari proses yang tidak konsisten seperti ini.

Checklist Offboarding Karyawan Microsoft 365

1. Blokir Akses Login Segera

Langkah pertama dan paling mendesak: nonaktifkan kemampuan sign-in akun tersebut di Microsoft 365 Admin Center, idealnya dilakukan tepat pada hari efektif berhenti kerja — bukan menunggu proses administrasi selesai. Ini langsung mencegah akses baru tanpa perlu menghapus data yang mungkin masih dibutuhkan.

2. Cabut Sesi Aktif dan Token Akses

Memblokir login saja tidak cukup bila karyawan tersebut masih memiliki sesi aktif di perangkatnya. Gunakan fitur Revoke sessions di Admin Center untuk memutus paksa semua sesi yang sedang berjalan, memastikan akses melalui aplikasi yang sudah login sebelumnya ikut terputus.

3. Reset atau Hapus Metode MFA Terdaftar

Hapus metode MFA yang terdaftar di akun tersebut, terutama bila perangkat yang dipakai untuk verifikasi (ponsel pribadi karyawan) tidak akan dikembalikan ke perusahaan.

4. Atur Peneruskan Email (Forwarding) Sementara

Aktifkan penerusan email otomatis ke atasan atau pengganti untuk periode transisi, sehingga komunikasi bisnis yang masih masuk ke alamat lama tidak terlewat. Pastikan aturan ini memiliki batas waktu jelas dan ditinjau ulang secara berkala.

5. Pindahkan Kepemilikan File dan Dokumen

Alihkan kepemilikan file OneDrive milik karyawan tersebut ke atasan atau administrator sebelum akun dihapus permanen. Untuk dokumen tim yang seharusnya sejak awal disimpan di SharePoint (bukan OneDrive pribadi), verifikasi tidak ada file penting yang "terjebak" di akun pribadi — sesuai prinsip yang kami jelaskan di panduan SharePoint: dokumen yang masih relevan setelah karyawan resign, tempatnya di SharePoint, bukan OneDrive.

6. Tinjau dan Cabut Keanggotaan Grup

Periksa keanggotaan karyawan tersebut di seluruh distribution group, shared mailbox, dan Microsoft 365 Groups, lalu cabut satu per satu. Grup yang terlewat berisiko membuat mantan karyawan tetap menerima email atau notifikasi internal meski akunnya sudah nonaktif — atau lebih parah, meninggalkan alamat kontak yang tidak jelas kepemilikannya.

7. Audit Perangkat yang Terdaftar (Intune)

Bagi organisasi dengan Business Premium atau E3/E5 yang memakai Intune, hapus data perusahaan dari perangkat pribadi karyawan (selective wipe) atau reset penuh perangkat kantor yang dikembalikan, memastikan tidak ada data perusahaan yang tertinggal di perangkat yang tidak lagi diawasi.

8. Cabut Hak Admin (Jika Ada)

Bila karyawan tersebut memiliki hak admin apa pun, cabut segera sebagai prioritas tertinggi — akun admin yang aktif setelah resign adalah risiko keamanan paling serius dibanding akun pengguna biasa.

9. Cabut Lisensi Setelah Masa Transisi

Setelah semua data penting dipindahkan dan periode transisi selesai (biasanya 30-90 hari), cabut lisensi Microsoft 365 dari akun tersebut untuk menghentikan biaya langganan yang tidak perlu, lalu jadwalkan penghapusan akun permanen sesuai kebijakan retensi data perusahaan.

Tabel Ringkasan Waktu Pelaksanaan

Kesalahan Umum Saat Offboarding

• Menunda pemblokiran akses hingga proses administrasi HR selesai, padahal risiko keamanan justru paling tinggi di hari-hari pertama setelah pengunduran diri diumumkan.
• Langsung menghapus akun tanpa memindahkan data, berisiko kehilangan file atau email penting yang belum sempat diarsipkan tim.
• Lupa mencabut keanggotaan grup dan shared mailbox, sehingga mantan karyawan berpotensi masih menerima notifikasi meski akun utamanya sudah nonaktif.
• Tidak mendokumentasikan proses offboarding sebagai checklist baku, sehingga kualitasnya bergantung pada siapa admin yang menjalankannya saat itu.

FAQ Offboarding Karyawan Microsoft 365

Apakah email karyawan yang resign harus langsung dihapus?

Tidak harus segera. Praktik umum adalah memblokir akses login terlebih dahulu, lalu mempertahankan mailbox dalam mode nonaktif (atau diubah jadi shared mailbox) selama periode transisi sebelum benar-benar dihapus, agar komunikasi bisnis yang masih relevan tidak hilang.

Berapa lama sebaiknya email forwarding diaktifkan setelah karyawan keluar?

Umumnya 30-90 hari, tergantung peran dan intensitas komunikasi eksternal karyawan tersebut. Setelah periode ini, forwarding sebaiknya dinonaktifkan dan pihak eksternal diarahkan ke kontak pengganti secara resmi.

Bagaimana jika karyawan yang resign memakai perangkat pribadi untuk bekerja (BYOD)?

Bila organisasi memakai Intune, admin dapat melakukan selective wipe yang hanya menghapus data dan aplikasi perusahaan tanpa menyentuh data pribadi di perangkat tersebut.

Apakah mencabut lisensi langsung mengurangi biaya langganan?

Ya, pencabutan lisensi akan mengurangi tagihan pada siklus penagihan berikutnya, sehingga penting segera dilakukan setelah data dipastikan aman dipindahkan.

Siapa yang sebaiknya bertanggung jawab menjalankan checklist offboarding?

Idealnya kolaborasi antara HR (memberi notifikasi tanggal efektif) dan admin IT (menjalankan langkah teknis), dengan checklist baku tertulis agar tidak bergantung pada ingatan satu orang saja.