ο πελάτης ρωτά πώς ανακαλούμε την πρόσβαση υπαλλήλων που έφυγαν

Ανάκληση της πρόσβασης μετά την παύση της εργασίας

Αυτό το ερώτημα ελέγχει εάν η διαδικασία offboarding είναι αεροστεγής: κλείνει πραγματικά η πρόσβαση ενός υπαλλήλου που έφυγε και συμβαίνει αρκετά γρήγορα. Ο πελάτης δεν θέλει περιγραφή της διαδικασίας σε χαρτί, αλλά απόδειξη ότι λειτουργεί πραγματικά — ότι δεν υπάρχουν λογαριασμοί που παραμένουν «κρεμασμένοι» μετά την αναχώρηση. Αυτό εμπίπτει στο την πολιτική πρόσβασης και τη διαχείριση των περιουσιακών στοιχείων της επιχείρησηςσυγκεκριμένα το τμήμα που αφορά την παύση των δικαιωμάτων πρόσβασης.

Συγκεκριμένη απόδειξη για αυτό είναι μια λίστα ελέγχου ή διαδικασία offboarding που καθορίζει ΠΟΙΑ συστήματα απενεργοποιούνται: ηλεκτρονική αλληλογραφία, VPN, κοινόχρηστες μονάδες, εφαρμογές SaaS, πρόσβαση κτιρίου και πιθανές κλειδιά API ή servicelogins που ήταν καταχωρισμένα στο όνομα του εν λόγω υπαλλήλου. Ισχυρότερη απόδειξη είναι ένα αρχείο καταγραφής ή σύνοψη εισιτηρίων που δείχνουν ότι συμβαίνει επίσης εντός ενός καθορισμένου χρονοδιαγράμματος, για παράδειγμα την ίδια ημέρα ή εντός 24 ωρών. Εάν υπάρχουν περιοδικές αναθεωρήσεις λογαριασμών — έλεγχος τριμήνιας που εντοπίζει ορφανά λογαριασμό — αυτό είναι ένα καλό συμπλήρωμα, και αυτός ο έλεγχος ανήκει επίσης σε την περιοδική δοκιμή των μέτρων ασφάλειαςΕάν λείπει μια τυπική διαδικασία, τότε το «όχι» είναι η ειλικρινής απάντηση· μια υπόσχεση ότι συμβαίνει «συνήθως» δεν είναι μια τεκμηριωμένη απάντηση.

Όπου εμπίπτει αυτό: άρθρο 21 παράγραφος 2 και Παράρτημα A

Ο έλεγχος πρόσβασης αναφέρεται με το όνομά του στο άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 ως ένα από τα δέκα υποχρεωτικά μέτρα, και αυτή είναι ακριβώς η κατηγορία στην οποία εμπίπτει αυτό το ερώτημα — όχι ξεχωριστά κατονομασμένο ως «offboarding», αλλά ως τμήμα του ελέγχου πρόσβασης σε ευρύτερη έννοια. Στο ISO/IEC 27001 αυτό επανέρχεται πιο συγκεκριμένα στα μέτρα ελέγχου του Παραρτήματος A, όπου η ανάκληση των δικαιωμάτων πρόσβασης κατά τη λήξη της εργασίας είναι ένας ιδιαίτερος έλεγχος, ξεχωριστά από τη γενική παροχή πρόσβασης. Για οντότητες που θα υπαγορεύονται στο Νόμο περί Κυβερνοασφάλειας μόλις τεθεί σε ισχύ, ισχύει η ίδια ταξινόμηση όπως στην Οδηγία.