dotazník se ptá, jak zrušujeme přístup, když zaměstnanec opustí podnik

Deprovisioning je součástí zásad přístupu, nikoli HR procesu

Dotazník chce zde zjistit, zda je odejmutí přístupu při ukončení pracovního poměru pevným, dokumentovaným procesem — nikoli ad-hoc akcí, která závisí na tom, zda manažer o tom upozorní IT. Konkrétně se obvykle ověřuje: je přístup odjat v poslední pracovní den (nebo dříve), děje se tak pro všechny systémy včetně sdílených účtů a cloudových aplikací, a existuje seznam kontrol nebo automatizovaný trigger, který to zajišťuje. To spadá pod politikou přístupu a správou firemních aktiv, a mnoho zákazníků na to konkrétně ptají jako na samostatnou součást této otázky, ne jako na jednotlivou otázku.

Pokud neexistuje formální proces, ale v praxi se přístup vždy odebírá, je "ne" s vysvětlením poctivější než "ano" bez důkazu. Důkaz, který zde často postačuje: popis postupu nebo kontrolní seznam ze systému správy identity a přístupu, export stavů účtů po odchodu ze zaměstnání, nebo odkaz na HR offboarding proces, ve kterém je zahrnuta IT složka. Pokud chybí tento důkaz, je odpověď zatím "ne" — to není odsouzení seznamu otázek, je to mezera, která se stává viditelnou a kterou můžete řešit nezávisle na tomto seznamu. Podívejte se také, zda v odpovědi hraje roli vícefaktorová autentizace: někteří zákazníci konkrétně ptají, zda se také odebírají MFA tokeny a hardwarové klíče, což vyžaduje jiný důkaz než pouze odvolání účtu; pro to se podívejte na vícefaktorová autentizace pro firemní systémy.

Kde to spadá pod deset opatření

Zásady přístupu, včetně odvolání přístupu při ukončení zaměstnání, spadají pod opatření pro kontrolu přístupu a bezpečnost zaměstnanců, která jsou uvedena v článku 21 odst. 2 směrnice NIS2 (Směrnice (EU) 2022/2555). Kdo pracuje s ISO/IEC 27001, pozná to jako kontrolní opatření z Přílohy A týkající se řízení přístupu a ukončení pracovního poměru; auditor tam obvykle konkrétně požaduje doklad o poslední skončení pracovního poměru, nikoli pouze zásady na papíře.