jak wpisuję, że odmawiamy dostępu personelowi opuszczającemu pracę

To pytanie dotyczy polityki dostępu, a nie procesu HR

To podlega polityce dostępu, w tym zarządzaniu zasobami przedsiębiorstwa — nie oddzielnej sekcji HR. Strona zadająca pyta, czy konta, hasła i prawa dostępu personelu odchodzącego są strukturalnie wycofywane, oraz czy ma to miejsce w ustalonym terminie po ostatnim dniu pracy. Dobra odpowiedź powinna zawierać trzy elementy: kto wykonuje wycofanie (IT, HR, lub proces zautomatyzowany), w jakim terminie się to dzieje, i czy dotyczy to również dostępu do systemów trzecich stron, takich jak aplikacje chmurowe lub VPN.

Jeśli istnieje stała procedura — na przykład: HR zgłasza rozwiązanie umowy, IT dezaktywuje wszystkie konta w ciągu 24 godzin — wtedy "tak" można uzasadnić, pod warunkiem że proces rzeczywiście jest udokumentowany, a nie tylko ma miejsce w praktyce. Jeśli brakuje tej dokumentacji lub wycofanie następuje ad hoc bez ustalonego terminu, wtedy "do określenia" jest szczerszą odpowiedzią: system to proponuje, dopóki dossier nie zawiera opisu procedury lub dokumentu potwierdzającego, a przedsiębiorca sam potwierdza, czy chce to poprawić przed złożeniem. Często chodzi o udokumentowanie czegoś, co już się dzieje, zamiast tworzenia nowego procesu.

Dlaczego podlega to kontroli dostępu: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia politykę dostępu i zarządzanie zasobami przedsiębiorstwa jako jedną z dziesięciu obowiązkowych środków; wycofanie dostępu przy rozwiązaniu stosunku pracy jest jego bezpośrednią częścią, ponieważ stale aktywne konto byłego pracownika jest niekontrolowanym punktem dostępu. ISO/IEC 27001 rozwija to dalej w Załączniku A, gdzie zakończenie lub zmiana praw dostępu przy rozwiązaniu stosunku pracy pojawia się jako oddzielny środek kontrolny. Dla przedsiębiorstw, które same podlegają zakresowi stosowania tych przepisów — opisane jest to w pytaniu o to, czy przedsiębiorstwo podlega dyrektywie lub krajowej implementacji — nie jest to zatem fakultatywny szczegół, ale część obowiązkowych środków podstawowych.