klient küsib, kas me võtame väljateenitud töötajate juurdepääsu kohe ära, kuidas ma seda tõestada

Tühistamine lahkumisel on tavaliselt vastus, "kohene" on lõks

Jah, enamikul juhtudel võid siin jaatava vastusega nõustuda — kuid ainult siis, kui saad näidata, et protsess toimub tegelikult kindla, lühikese tähtaja jooksul, mitte ainult et see on poliitikasse kirjutatud. Küsimus testib kahte asja korraga: kas reegel on paberil olemas ja kas protsess töötab ka praktikas. Paljud ettevõtjad vastavad "jah", sest poliitikadokument seda ütleb, kuid puudub tõendusdokument: logifail või piletiotsing, mis näitab, millal konto tegelikult keelati, võrreldes HR-halduse viimase tööpäevaga.

Kui selliseid ülevaadet pole, ära vasta automaatselt "jah". Ilma alusdokumentideta on "ei" või "osaliselt" ausam vastus, isegi kui oled kindel, et protsess on olemas — klient küsib ju tõestatavust, mitte lubadust. See teema on seotud juurdepääsupoliitikat ja IT-varade haldustkohe keelavatest juurdepääsuga: kes ei registreeri oma süsteemidesse ja seadmetesse juurdepääsu keskselt, ei saa lahkumisel ka tõendada, et kõik on tühistatud. Ja kuna juurdepääsu tühistamine sageli langevad kokku intsidendi-laadsete toimingutega (konto, mis peab "väljas" olema), on mõistlik viia see vastus kooskõlla turvaintsidentide käsitlemise protseduur: mõned kliendid ootavad, et unustatud konto registreeritakse intsidendina.

Alus on artikli 21 lõige 2, punkt i

See küsimus kuulub NIS2-direktiivi artikli 21 lõike 2 kümne meetme alla, täpsemalt punkt i, mis käsitleb personali turvalisust ja juurdepääsupoliitika. ISO/IEC 27001 arendab seda edasi Annex A-s, haldusmeetmete osana töösuhet puudutavate muudatuste ja juurdepääsuõiguste kohta. Ettevõtted, kes on juba ISO 27001-sertifitseeritud, omavad tavaliselt selle tõendit juba auditiregistri osana — sertifikaati pole, siis on enda logide või piletite loend otseseim alternatiiv.