ο πελάτης ρωτά εάν ανακαλούμε αμέσως την πρόσβαση των απερχομένων υπαλλήλων, πώς το αποδεικνύω

Η ανάκληση κατά τη λήξη της σχέσης εργασίας είναι συνήθως η απάντηση, το «άμεσα» είναι η παγίδα

Ναι, στις περισσότερες περιπτώσεις μπορείς να δώσεις καταφατική απάντηση εδώ — αλλά μόνο αν μπορείς να αποδείξεις ότι η διαδικασία συμβαίνει πράγματι εντός ενός καθορισμένου, σύντομου χρονικού διαστήματος, όχι μόνο ότι το πολιτικό έγγραφο το προβλέπει. Η ερώτηση δοκιμάζει δύο πράγματα ταυτόχρονα: είναι ο κανόνας γραμμένος σε χαρτί, και λειτουργεί επίσης η διαδικασία στην πράξη. Πολλοί επιχειρηματίες απαντούν «ναι» επειδή το πολιτικό έγγραφο το λέει, ενώ το στοιχείο που λείπει είναι: ένα αρχείο καταγραφής ή μια επισκόπηση εισιτηρίων που δείχνει πότε ένας λογαριασμός απενεργοποιήθηκε πραγματικά, σε σύγκριση με την τελευταία εργάσιμη ημέρα από τη διοίκηση ανθρώπινων πόρων.

Αν δεν έχεις αυτή την επισκόπηση, μην απαντήσεις αυτόματα «ναι». Χωρίς υποκείμενο στοιχείο, το «όχι» ή το «μερικώς» είναι η πιο ειλικρινής απάντηση, ακόμη και αν είσαι σίγουρος ότι υπάρχει η διαδικασία — ο πελάτης σας ζητάει αποδεικτικότητα, όχι μια υπόσχεση. Αυτό το θέμα σχετίζεται με την πολιτική πρόσβασης και τη διαχείριση των περιουσιακών στοιχείων της επιχείρησης: όποιος δεν καταχωρεί κεντρικά την πρόσβαση στα συστήματα και τη συσκευή του, δεν μπορεί να αποδείξει κατά τη λήξη της σχέσης εργασίας ότι όλα έχουν ανακληθεί. Και επειδή η ανάκληση πρόσβασης συχνά συμπίπτει με μια ενέργεια που μοιάζει με περιστατικό (ένας λογαριασμός που πρέπει να είναι «κλειστός»), είναι έξυπνο να συνδέσεις αυτή την απάντηση με τη διαδικασία για περιστατικά ασφαλείας: ορισμένοι πελάτες περιμένουν ότι ένας ξεχασμένος λογαριασμός θα καταχωριστεί ως περιστατικό.

Η βάση βρίσκεται στο άρθρο 21 παράγραφος 2, σημείο i

Αυτή η ερώτηση εμπίπτει στα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2, συγκεκριμένα το σημείο i σχετικά με την ασφάλεια του προσωπικού και την πολιτική πρόσβασης. Το ISO/IEC 27001 το αναπτύσσει περαιτέρω στο Annex A, στα μέτρα ελέγχου σχετικά με τη λήξη ή την τροποποίηση της σχέσης εργασίας και τα δικαιώματα πρόσβασης. Οι εταιρείες που είναι ήδη πιστοποιημένες κατά ISO 27001 έχουν συνήθως αυτό το στοιχείο διαθέσιμο ως μέρος του αρχείου ελέγχου τους — κανένα πιστοποιητικό, τότε ένα δικό σας αρχείο καταγραφής ή επισκόπηση εισιτηρίων είναι η πιο άμεση εναλλακτική.