zákazník se ptá, jak odebíráme přístup zaměstnancům, kteří odejdou

Odejmutí přístupu po ukončení pracovního poměru

Tato otázka ověřuje, zda je proces offboardingu těsný: je přístup odchodu zaměstnance skutečně uzavřen a je uzavřen dostatečně rychle. Zákazník nechce popis procedury na papíře, ale důkaz, že to skutečně funguje — že po odchodu nezůstanou účty „viset na háku". To spadá pod zásad přístupu a správy podnikových prostředků, konkrétně část, která se zabývá ukončením přístupových práv.

Konkrétním důkazem je kontrolní seznam nebo procedura offboardingu, která specifikuje, které systémy budou deaktivovány: e-mail, VPN, sdílené jednotky, SaaS aplikace, přístup do budovy a všechny klíče API nebo přihlášení do služeb, která patřila danému zaměstnanci. Silnějším důkazem je protokol nebo přehled ticketů, který ukazuje, že k tomu došlo také v rámci stanovené lhůty, například stejný den nebo do 24 hodin. Pokud existují periodické recenze účtů — čtvrtletní kontrola, která vyhledá osiřelé účty — je to dobrý doplněk, a tato kontrola by měla být součástí periodickým testováním bezpečnostních opatření. Pokud chybí formální procedura, pak je "ne" poctivá odpověď; příslib, že se to "obvykle děje" není podloženou odpovědí.

Kam to patří: článek 21 odstavec 2 a Příloha A

Řízení přístupu je jmenováno v článku 21 odst. 2 směrnice NIS2 jako jedno z deseti povinných opatření, a to je přesně kategorie, pod kterou tato otázka spadá — ne samostatně uvedeno jako "offboarding", ale jako součást řízení přístupu v širokém smyslu. V ISO/IEC 27001 se to projevuje konkrétněji v kontrolních opatřeních Přílohy A, kde odejmutí přístupových práv při ukončení pracovního poměru je samostatná kontrola, oddělená od obecného přiznání přístupu. Pro subjekty, které budou podléhat zákonu o kybernetické bezpečnosti, jakmile tento vstoupí v platnost, platí stejné dělení jako v příslušné směrnici.