de vragenlijst vraagt hoe we toegang intrekken als een medewerker uit dienst gaat

Deprovisioning is onderdeel van toegangsbeleid, niet van hr-proces

De vragenlijst wil hier weten of het intrekken van toegang bij uitdiensttreding een vast, gedocumenteerd proces is — geen ad-hoc actie die afhangt van of de manager het doorgeeft aan IT. Concreet wordt meestal getoetst: wordt toegang ingetrokken op de laatste werkdag (of eerder), gebeurt dat voor alle systemen inclusief gedeelde accounts en cloudapplicaties, en is er een checklist of geautomatiseerde trigger die dit borgt. Dit valt onder het toegangsbeleid en beheer van bedrijfsmiddelen, en veel klanten vragen er specifiek naar als apart onderdeel van die vraag, niet als losse vraag.

Als er geen formeel proces is, maar toegang in de praktijk altijd wel wordt ingetrokken, is "nee" met een toelichting eerlijker dan een "ja" zonder bewijsstuk. Bewijs dat hier vaak voor volstaat: een procesbeschrijving of checklist uit het identity- en accessmanagementsysteem, een export van accountstatussen na uitdiensttreding, of een verwijzing naar het HR-offboardingproces waarin de IT-stap is opgenomen. Ontbreekt dat bewijs, dan is het antwoord voor nu "nee" — dat is geen afkeuring van de vragenlijst, het is een gat dat zichtbaar wordt en dat je los van deze lijst kunt dichten. Zie ook of meerfactorauthenticatie een rol speelt in het antwoord: sommige klanten vragen specifiek of MFA-tokens en hardware-sleutels ook worden ingenomen, wat een ander bewijsstuk vraagt dan alleen het intrekken van een account; kijk daarvoor bij meerfactorauthenticatie voor bedrijfssystemen.

Waar dit onder de tien maatregelen valt

Toegangsbeleid, inclusief het intrekken van toegang bij uitdiensttreding, valt onder de maatregelen voor toegangscontrole en beveiliging van personeel die genoemd worden in artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555). Wie met ISO/IEC 27001 werkt, herkent dit als een beheersmaatregel uit Annex A over toegangsbeheer en de beëindiging van een dienstverband; een auditor zal daar meestal specifiek naar het bewijsstuk van de laatste uitdiensttreding vragen, niet naar het beleid op papier alleen.