klijent pita kako povlačimo pristup zaposlenicima koji su otišli

Povlačenje pristupa nakon prekida radnog odnosa

Ovo pitanje provjerava je li proces offboardinga zatvoren: je li pristup zaposlenika koji je otišao doista onemogućen i je li to učinjeno dovoljno brzo. Klijent ne želi opis procedure na papiru, već dokaz da to i FUNKCIONIRA — da nijedan račun ne ostaje "suspendan" nakon odlaska. To spada pod politiku pristupa i upravljanje poslovnom imovinom, konkretno dio koji se odnosi na prekid prava pristupa.

Konkretan dokaz za to je offboarding-checklist ili -procedura koja određuje KOJA se sustava isključuju: e-pošta, VPN, dijeljena pogona, SaaS-aplikacije, pristup zgradi i eventualni API-ključevi ili prijave u servise koje je imao taj zaposlenik. Jači dokaz je dnevnik ili pregled karata iz kojih je vidljivo da se to događa i u utvrđenom vremenu, npr. isti dan ili u roku od 24 sata. Ako postoje periodičke provjere računa — kvartalna kontrola koja pronalazi napuštene račune — to je dobar dodatak, i ta kontrola tudi spada u povremenim testiranjem mjera sigurnosti. Ako nedostaje formalna procedura, tada je "ne" pošten odgovor; obećanje da će se to "obično" dogoditi nije utemeljeno na činjenicama.

Gdje to spada: članak 21 stavak 2 i Prilog A

Upravljanje pristupom izmjenom je navedeno u članku 21. stavak 2. NIS2-direktive kao jedna od deset obaveznih mjera, i to je upravo kategorija u koju spada ovo pitanje — nije posebno navedeno kao "offboarding", već kao dio kontrole pristupa u širem smislu. U ISO/IEC 27001 to se detaljnije pojavljuje u mjerama nadzora iz Priloga A, gdje je povlačenje prava pristupa na kraju radnog odnosa zasebna kontrola, odvojena od opće dodjele pristupa. Za subjekte koji će podleći Zakonu o kibernetskoj sigurnosti nakon njegovog stupanja na snagu, vrijedi ista kategorizacija kao u direktivi.