kuidas täitmin, et võtame juurdepääsu äasjäänud töötajatelt ära

See küsimus käsitleb juurdepääsupoliitikat, mitte HR-protsessi

See kuulub juurdepääsupoliitika alla, sealhulgas ettevõtte vahendite haldusse — mitte eraldi HR-osa alla. Küsija soovib teada, kas end lahkunud personali kontod, paroolid ja juurdepääsuõigused tühistatakse süstemaatiliselt ja kas see toimub kindla tähtaja jooksul pärast viimast tööpäeva. Hea vastus mainib kolme asja: kes teostab tühistamist (IT, HR või automatiseeritud protsess), millise tähtaja jooksul see toimub, ja kas see kehtib ka juurdepääsule kolmandates osapoolte süsteemidele nagu pilverakendused või VPN.

Kui on olemas kindel protseduur — näiteks: HR teatab lahkumisest, IT inaktiveerib kõik kontod 24 tunni jooksul — siis on "jah" põhjendatav, tingimusel et see protsess on ka tegelikult dokumenteeritud ja ei toimu ainult praktikas. Kui dokumenteerimine puudub või tühistamine toimub juhuslikus korras ilma kindla tähtajata, siis on "veel määratlemata" ausam vastus: süsteem pakub seda nii kaua, kuni dossiee ei sisalda protseduurikirjeldust või tõendit, ja ettevõtja kinnitab ise, kas soovib seda täpsustada enne esitamist. Sageli on tegemist millegi dokumenteerimisega, mis juba toimib, selle asemel et luua täiesti uus protsess.

Miks see juurdepääsu kontrollimise alla kuulub: NIS2-direktiivi artikkel 21 lõige 2 ja Lisa A

NIS2-direktiivi artikkel 21 lõige 2 nimetab juurdepääsupoliitikat ja ettevõtte vahendite haldust ühe kümnest kohustusliku meetmest; juurdepääsu tühistamine lahkumisel on selle otsene osa, kuna endise töötaja aktiivne konto on jätkuvalt haldusliku järelevalveta juurdepääsupunkt. ISO/IEC 27001 detailiseerib seda edasi lisas A, kus teenistussuhte lõppemisele või juurdepääsuõiguste muutmisele teenistussuhte lõppemisel viidatakse eraldi kontrollimeetmena. Ettevõtetele, kes ise jäävad selle reegli kohaldamisalasse — see on kirjeldatud küsimuses, kas organisatsioon kuulub direktiivi või selle riikliku rakendamise kohaldamisalasse — ei ole see seega vabatahtlik detail, vaid kohustusliku põhiabinõu osa.