πώς συμπληρώνω ότι ανακαλούμε την πρόσβαση του απερχόμενου προσωπικού

Αυτή η ερώτηση σχετίζεται με την πολιτική πρόσβασης, όχι με τη διαδικασία HR

Αυτό εμπίπτει στο την πολιτική πρόσβασης, συμπεριλαμβανομένης της διαχείρισης των περιουσιακών στοιχείων της εταιρείας — όχι σε ένα ξεχωριστό τμήμα HR. Το ερωτώμενο μέρος θέλει να γνωρίζει εάν οι λογαριασμοί, οι κωδικοί πρόσβασης και τα δικαιώματα πρόσβασης του προσωπικού που αποχωρεί ανακαλούνται δομικά, και εάν συμβαίνει αυτό εντός ενός σταθερού χρονικού περιθωρίου μετά την τελευταία ημέρα εργασίας. Μια καλή απάντηση αναφέρει τρία πράγματα: ποια οντότητα εκτελεί την ανάκληση (IT, HR ή ένας αυτοματοποιημένος διαδικασία), εντός ποιου χρονικού περιθωρίου συμβαίνει αυτό, και εάν ισχύει επίσης για την πρόσβαση σε συστήματα τρίτων όπως εφαρμογές cloud ή VPN.

Εάν υπάρχει μια σταθερή διαδικασία — για παράδειγμα: το HR ειδοποιεί την αποχώρηση, το IT απενεργοποιεί όλους τους λογαριασμούς εντός 24 ωρών — τότε το "ναι" μπορεί να τεκμηριωθεί, εφόσον αυτή η διαδικασία είναι πράγματι τεκμηριωμένη και όχι μόνο στην πράξη. Εάν λείπει αυτή η τεκμηρίωση ή η ανάκληση πραγματοποιείται ad hoc χωρίς σταθερό χρονικό περιθώριο, τότε το "προς προσδιορισμό" είναι η πιο ειλικρινής απάντηση: το σύστημα το προτείνει όσο το δοσιέ δεν διαθέτει περιγραφή διαδικασίας ή αποδεικτικό στοιχείο, και ο επιχειρηματίας επιβεβαιώνει ο ίδιος εάν θέλει να το περιορίσει πριν υποβάλει. Συχνά πρόκειται για θέμα τεκμηρίωσης κάτι που ήδη συμβαίνει, αντί για σχεδιασμό μιας νέας διαδικασίας.

Γιατί αυτό εμπίπτει στη διαχείριση πρόσβασης: άρθρο 21 παράγραφος 2 και Παράρτημα A

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει την πολιτική πρόσβασης και τη διαχείριση περιουσιακών στοιχείων της εταιρείας ως ένα από τα δέκα υποχρεωτικά μέτρα· η ανάκληση της πρόσβασης κατά την αποχώρηση είναι ένα άμεσο τμήμα του, διότι ένας ενεργός λογαριασμός ενός πρώην υπαλλήλου είναι ένα χωρίς έλεγχο σημείο πρόσβασης. Το ISO/IEC 27001 το επεκτείνει περαιτέρω στο Παράρτημα A, όπου η τερματισμός ή η τροποποίηση δικαιωμάτων πρόσβασης κατά την παύση της απασχόλησης εμφανίζεται ως ξεχωριστό μέτρο ελέγχου. Για τις εταιρείες που εξ ορισμού εμπίπτουν στο πεδίο εφαρμογής αυτών των κανόνων — αυτό περιγράφεται στο ερώτημα εάν η επιχείρηση εμπίπτει στην οδηγία ή στη διακοπή της εφαρμογής της σε εθνικό επίπεδο — τότε δεν είναι επίσης ένα προαιρετικό στοιχείο, αλλά μέρος των υποχρεωτικών βασικών μέτρων.