a kérdőív arra kérdez, hogyan vonjuk vissza a hozzáférést, ha egy munkavállaló kilép

A hozzáférés visszavonása az hozzáférési politika része, nem az HR-folyamat része

A kérdőív itt azt szeretné megtudni, hogy a hozzáférés visszavonása a munkavégzés befejeztével egy állandó, dokumentált folyamat-e — nem pedig egy ad-hoc cselekmény, amely attól függ, hogy a menedzser átadja-e az információt az IT-nak. Konkrétan általában az alábbiakra vizsgálnak: a hozzáférést az utolsó munkanapra (vagy előbb) visszavonják, ez az összes rendszerre vonatkozik-e, beleértve a megosztott fiókokat és felhőalkalmazásokat, és van-e ellenőrzőlista vagy automatizált trigger, amely ezt biztosítja. Ez az a hozzáférési szabályzattal és az üzleti eszközök kezelésével, és sok ügyfél kifejezetten ezt kéri, mint a kérdés külön részét, nem pedig önálló kérdésként.

Ha nincs formális folyamat, de a gyakorlatban a hozzáférés mindig visszavonásra kerül, akkor az "nem" indoklással becsületesebb, mint az "igen" bizonyíték nélkül. Az itt gyakran elegendő bizonyíték: egy folyamatleírás vagy ellenőrzőlista az identitás- és hozzáférés-kezelési rendszerből, a munkavállaló kilépése után az account-állapotok exportálása, vagy egy hivatkozás az HR-offboarding-folyamatra, amelybe az IT-lépés beépítve van. Ha ez a bizonyíték hiányzik, a válasz most "nem" — ez nem a kérdőív elutasítása, hanem egy rés, amely láthatóvá válik, és amelyet ezen lista nélkül is be tudsz tömni. Nézz meg azt is, hogy a többfaktoros hitelesítés milyen szerepet játszik a válaszban: egyes ügyfelek konkrétan azt kérdik, hogy az MFA-tokeneket és hardverkulcsokat is elveszik-e, ami más bizonyítékot igényel, mint csak egy fiók visszavonása; ezért nézd meg azt, hogy többtényezős hitelesítés vállalati rendszerekhez.

Ahol ez a tíz intézkadés közé tartozik

A hozzáférési politika, beleértve a hozzáférés visszavonását a munkavégzés befejeztével, az NIS2-irányelv (2022/2555 EU irányelv) 21. cikk (2) bekezdésében említett személyzeti hozzáférés-ellenőrzésre és biztonsági intézkedésekre vonatkozik. Aki az ISO/IEC 27001-gyel dolgozik, ezt az Annex A hozzáférés-kezelésre és a munkaviszonyt befejezésre vonatkozó irányítási intézkedéseként ismeri fel; egy auditor általában konkrétan az utolsó munkavállaló kilépésének bizonyítékára fog rákérdezni, nem csupán az írásos politikára.