kako popunim da uvodimo pristup zaposlenicima koji odlaze

Ovo pitanje pripada politici pristupa, a ne HR-procesu

To spada pod politiku pristupa, uključujući upravljanje nematerijalnom imovinom — nije pod odvojenim HR-dijelom. Pitajuća strana želi znati jesu li računi, lozinke i prava pristupa odlazećeg osoblja sustavno povučeni, te je li to učinjeno u fiksnom roku nakon posljednjeg radnog dana. Dobar odgovor spominje tri stvari: tko provodi povlačenje (IT, HR ili automatizirani proces), u kojem roku se to odvija, te primjenjuje li se i na pristup sustavima trećih strana kao što su oblačne aplikacije ili VPN.

Ako postoji fiksna procedura — na primjer: HR prijavljuje izlazak iz službe, IT deaktivira sve račune u roku od 24 sata — tada se "da" može potkrijepiti, pod uvjetom da je taj proces zaista dokumentiran, a ne samo da se radi u praksi. Ako dokumentacija nedostaje ili se povlačenje odvija ad hoc bez fiksnog roka, tada je "ostaje za određivanje" iskreitiji odgovor: sustav to predlaže sve dok dossier nema opis procedure ili dokaz, a poduzetnik sam potvrdi želi li to pojačati prije nego podnese. Često je ovo pitanje dokumentiranja nečega što već postoji, umjesto dizanja novog procesa.

Zašto ovo spada pod upravljanje pristupom: članak 21 stavak 2 i Prilog A

Članak 21 stavak 2 direktive NIS2 navodi politiku pristupa i upravljanje nematerijalnom imovinom kao jednu od deset obaveznih mjera; povlačenje pristupa pri izlasku iz službe je neposredno dio toga, jer aktivni račun bivšeg zaposlenika predstavlja nenadgledanu točku pristupa. ISO/IEC 27001 to dodatno razrađuje u Prilogu A, gdje se prekid ili promjena prava pristupa pri završetku odnosa zaposlenja pojavljuje kao odvojena mjera kontrole. Za poduzeća koja se sama nalaze u opsegu primjene tih pravila — to je opisano pri pitanju pada li poduzeće pod djelokrug direktive ili nacionalne implementacije — tada to nije ni opciono, već dio obaveznih osnovnih mjera.