kuinka ilmoitan, että vähennämme poistuvien työntekijöiden pääsyn

Tämä kysymys kuuluu pääsynhallintakäytäntöön, ei HR-prosessiin

Tämä koskee pääsynhallintakäytäntöä, mukaan lukien liikevaihdetta omaisuuden hallintaa — ei erillistä HR-osaa. Kysymyksen esittäjä haluaa tietää, poistetaanko poistuvan henkilöstön tilit, salasanat ja pääsyoikeudet rakenteellisesti, ja tehdäänkö se määrätyn ajan kuluessa viimeisen työpäivän jälkeen. Hyvä vastaus sisältää kolme asiaa: kuka suorittaa oikeuksien poistamisen (IT, HR tai automatisoitu prosessi), missä aikavälissä se tapahtuu, ja koskeeeko se myös pääsyä kolmannen osapuolen järjestelmiin, kuten pilvipalveluihin tai VPN:ään.

Jos on olemassa kiinteä menettely — esimerkiksi: HR ilmoittaa työsuhteen päättymisestä, IT poistaa kaikki tilit käytöstä 24 tunnin kuluessa — niin "kyllä" on perusteltavissa edellyttäen, että prosessi on myös dokumentoitu eivätkä se vain käytännössä tapahdu. Jos dokumentointi puuttuu tai oikeuksien poistaminen tapahtuu ad hoc ilman kiinteää aikavälliä, niin "määritettävä" on rehellisempi vastaus: järjestelmä ehdottaa sitä niin kauan kuin tiedosto ei sisällä prosessikuvausta tai todistusaineistoa, ja yrittäjä itse vahvistaa, haluaako hän terävöittää sitä ennen lähettämistä. Usein kyse on vain dokumentoinnista, joka jo tapahtuu, ei uuden prosessin luomisesta.

Miksi tämä kuuluu pääsynhallintaan: artikla 21 kohta 2 ja liite A

NIS2-direktiivin artiklan 21 kohdan 2 mukaan pääsynhallintakäytäntö ja liikevaihdetta omaisuuden hallinta kuuluvat kymmenen pakollisen toimenpiteen joukkoon; pääsyn peruuttaminen työsuhteen päättymisen yhteydessä on suora osa siitä, koska entisen työntekijän aktiivinen tili on hallitsematon pääsypiste. ISO/IEC 27001 kehittää tätä edelleen liitteessä A, jossa pääsyoikeuksien lopettaminen tai muuttaminen työsuhteen päättymisen yhteydessä esiintyy erillisenä valvontatoimenpiteenä. Yrityksille, jotka itse kuuluvat tämän säännön soveltamisalaan — tämä on kuvattu kysymyksessä, sovelletaanko yritykseeseen direktiiviä tai sen kansallista täytäntöönpanoa — tämä ei ole valinnainen yksityiskohta, vaan osa pakollisia perustoimenpiteitä.