spørgeskemaet spørger, hvordan vi tilbagekalder adgang, når en medarbejder afskediges

Deprovisioning er en del af adgangspolitikken, ikke af HR-processen

Spørgeskemaet vil gerne vide, om tilbagekaldelse af adgang ved fratræden er en fast, dokumenteret proces — ikke en ad hoc-handling, der afhænger af, om lederen videregiver det til IT. Konkret bliver der normalt testet: tilbagekaldes adgang på sidste arbejdsdag (eller tidligere), sker det for alle systemer, herunder delte konti og cloudapplikationer, og er der en tjekliste eller automatiseret trigger, der sikrer dette. Det falder under adgangskontrol og forvaltning af virksomhedsmidler, og mange kunder spørger specifikt hertil som en separat del af det spørgsmål, ikke som et løst spørgsmål.

Hvis der ikke er en formelt proces, men adgang i praksis altid tilbagekaldes, er "nej" med en præcisering mere ærlig end et "ja" uden dokumentation. Dokumentation, der ofte er tilstrækkelig her: en procesbeskrivelse eller tjekliste fra identity- og accessmanagementsystemet, en eksport af kontostatus efter fratræden, eller en henvisning til HR-offboardingprocessen, hvor IT-trinnet er inkluderet. Hvis denne dokumentation mangler, er svaret for nu "nej" — det er ikke en misbilligelse af spørgeskemaet, det er en mangel, der bliver synlig, og som du kan udbedre uden for denne liste. Se også, om flerfaktor-godkendelse spiller en rolle i svaret: nogle kunder spørger specifikt, om MFA-tokens og hardware-nøgler også bliver taget, hvilket kræver en anden dokumentation end blot tilbagekaldelse af en konto; se der efter hos multifaktorautentificering for virksomhedssystemer.

Hvor det falder under de ti foranstaltninger

Adgangspolitik, herunder tilbagekaldelse af adgang ved fratræden, falder under foranstaltningerne til adgangskontrol og medarbejdersikkerhed, som er nævnt i artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555). For virksomheder, der arbejder med ISO/IEC 27001, genkendes dette som en kontrolforanstaltning fra Annex A om adgangsstyring og opsigelse af ansættelse; en revisor vil normalt spørge specifikt efter dokumentationen for den seneste fratræden, ikke kun politikken på papir.