klients jautā, vai mēs nekavējoties atcenzējam piekļuvi izņemtajiem darbinieku kontiem, kā es to pierādu

Anulēšana darba attiecību izbeigšanas gadījumā parasti ir atbilde, "uzreiz" ir slazdiens

Jā, vairumā gadījumu jūs varat sniegt apstiprinošu atbildi — bet tikai tad, ja varat pierādīt, ka process tiešām notiek noteiktā, īsā laika posmā, nevis tikai tāpēc, ka politika to pieprasa. Jautājums vienlaikus pārbauda divas lietas: vai noteikums ir uzrakstīts uz papīra, un vai process darbojas arī praktiski. Daudzi uzņēmēji atbild "jā", jo politikas dokuments to saka, turpretim pietrūkst pierādījuma: žurnāla vai biļešu pārskata, no kura izriet, kad konts patiešām tika deaktivizēts, salīdzinot ar pēdējo darba dienu HR administratīvajā sistēmā.

Ja jums šāds pārskats nav, tad automātiski neatbildiet "jā". Bez pamatdokumenta "nē" vai "daļēji" ir godīgāka atbilde, pat ja jūs esat pārliecināts, ka process pastāv — klients jau jautā par pierādāmību, nevis par solījumu. Šis temats ir saistīts ar piekļuves politiku un uzņēmuma līdzekļu pārvaldi: kas centrāli nereģistrē piekļuvi sistēmām un aprīkojumam, nevar pierādīt, ka darba attiecību izbeigšanas gadījumā viss ir anulēts. Un tā kā piekļuves anulēšana bieži sakrīt ar incidenta veida darbību (konta "izslēgšana"), ir gudri šo atbildi saskaņot ar drošības incidentu risināšanas procedūras: daži klienti sagaida, ka aizmirsts konts tiek reģistrēts kā incidents.

Pamats ir 21. panta 2. punkta i) apakšpunktā

Šis jautājums ietilpst NIS2 direktīvas 21. panta 2. punkta desmit pasākumos, īpaši i) apakšpunktā par personāla drošību un piekļuves politiku. ISO/IEC 27001 to turpina Pielikumā A, kontroles pasākumos par darba attiecību izbeigšanu vai izmaiņas un piekļuves tiesībām. Uzņēmumiem, kas jau ir ISO 27001 sertificēti, šis pierādījums parasti jau ir pieejams kā viņu audita faila daļa — nav sertifikata, tad sava žurnāla vai biļešu pārskata ir tiešākais alternatīvs variants.