hogyan jelzem azt, hogy visszavonunk hozzáférést a távozó személyzettől

Ez a kérdés a hozzáférési szabályzathoz tartozik, nem az HR-folyamathoz

Ez alá tartozik a hozzáférési szabályzat, beleértve a vállalati eszközök kezelését — nem egy külön HR-osztály alatt. A kérdező fél tudni szeretné, hogy a távozó személyzet fiókai, jelszavai és hozzáférési jogai rendszeres alapon visszavonásra kerülnek-e, és hogy az utolsó munkanap után meghatározott időn belül történik-e. Egy jó válasz három dolgot említ: ki hajtja végre a visszavonást (IT, HR vagy automatizált folyamat), milyen időtartamon belül történik ez, és hogy vonatkozik-e ez olyan harmadik felek rendszereire is, mint a felhőalkalmazások vagy a VPN.

Ha van egy meghatározott eljárás — például: az HR jelenti a munkaviszony megszüntetését, az IT 24 órán belül deaktiválja az összes fiókot — akkor az "igen" alátámasztható, feltéve, hogy ezt a folyamatot ténylegesen dokumentálták, és nem csak a gyakorlatban történik. Ha hiányzik ez a dokumentáció, vagy a visszavonás ad hoc módon, meghatározott időtartam nélkül történik, akkor a "még meg kell határozni" a becsületesebb válasz: a rendszer ezt javasolja, amíg a dossz nem tartalmaz eljárásleírást vagy bizonyítékot, és a vállalkozó maga erősíti meg, hogy szeretné-e ezt pontosítani a beküldés előtt. Gyakran ez arról szól, hogy rögzítsen valamit, ami már megtörténik, ahelyett, hogy egy teljesen új folyamatot kellene felépíteni.

Miért tartozik ez a hozzáférés-vezérlés alá: a 21. cikk (2) bekezdése és az A. melléklet

A NIS2-irányelv 21. cikk (2) bekezdése a hozzáférési szabályzatot és az üzleti eszközök kezelését nevezi meg a tíz kötelező intézkedés egyikeként; a hozzáférés visszavonása a foglalkoztatási viszony szűnésekor ennek közvetlen része, mivel egy korábbi alkalmazott felhasználói fiókja, amely továbbra is aktív marad, kezeletlen hozzáférési pont. Az ISO/IEC 27001 ezt az A. mellékletben részletesebben kidolgozza, ahol a hozzáférési jogok visszavonása vagy módosítása a foglalkoztatási viszony végén külön kezelési intézkedésként jelenik meg. Az olyan vállalkozások számára, amelyek maguk is e szabályok hatálya alá tartoznak — ezt az irányelv vagy annak nemzeti átültetésének hatálya alá tartozás kérdésénél írják le — ez tehát nem egy opcionális részlet, hanem a kötelező alapintézkedések része.