asiakas kysyy, kuinka kummoitamme pois lähteneiden työntekijöiden käytön

Pääsyn peruuttaminen työsuhteen päätyttyä

Tämä kysymys testaa, onko offboarding-prosessi vedenpitävä: sulkeutuuko lähteneen työntekijän pääsy todella ja riittävän nopeasti. Asiakas ei halua kuvauksia menettelystä paperilla, vaan näyttöä siitä, että se todellakin toimii — että tilejä ei jää "roikkumaan" työsuhdetta päätyttyä. Tämä kuuluu pääsynhallintaan ja yritysvarojen hallintaanjoihin liittyen erityisesti osaan, joka koskee pääsyoikeuksien lopettamista.

Konkreettinen todiste tästä on offboarding-tarkistuslista tai -menettely, jossa määritellään, MITKÄ järjestelmät kytketään pois päältä: sähköposti, VPN, jaetut asemat, SaaS-sovellukset, rakennukseen pääsy ja mahdolliset API-avaimet tai palvelujen kirjautumiset, jotka olivat kyseisen työntekijän nimissä. Vahvempi todiste on loki tai lipputietojen yleiskatsaus, josta käy ilmi, että tämä tapahtuu myös määritetyn aikarajan sisällä, esimerkiksi samana päivänä tai 24 tunnin kuluessa. Jos säännöllisiä tilintarkastuksia on — neljännesvuosittainen tarkistus, joka paikantaa irrallaan olevia tilejä — se on hyvä lisä, ja tämä tarkistus kuuluu myös turvallisuustoimenpiteiden säännölliseen testaukseenkohdan piiriin. Jos virallista menettelyä ei ole, oikea vastaus on "ei"; lupaus siitä, että se "yleensä tapahtuu" ei ole perusteltu vastaus.

Mihin tämä kuuluu: artikla 21 kohta 2 ja Liite A

Pääsyn valvonta on nimetty artiklan 21 kohdan 2 NIS2-direktiivin yhdessä kymmenestä pakollisesta toimenpiteestä, ja tämä on täsmälleen se luokka, johon tämä kysymys kuuluu — ei erikseen merkitty "offboardingiksi", vaan osana pääsynvalvontaa laajemmassa merkityksessä. ISO/IEC 27001 -standardissa tämä esiintyy spesifimmin Liitteen A hallinnollisissa kontrollitoimenpiteissä, joissa pääsyoikeuksien peruuttaminen työsuhteen päättyessä on oma kontrollitoimenpide, erillään yleisestä pääsyn myöntämisestä. Entiteeteille, jotka kuuluvat kyberturvallisuuslain piiriin sen tullessa voimaan, pätee sama jako kuin direktiivissä.