klient pyta, jak wycofujemy dostęp pracownikom, którzy odeszli

Wycofanie dostępu po rozwiązaniu stosunku pracy

To pytanie sprawdza, czy proces offboardingu jest szczelny: czy dostęp pracownika, który odszedł, zostaje rzeczywiście zamknięty i czy dzieje się to wystarczająco szybko. Klient nie chce opisu procedury na papierze, ale dowód, że to zadziała — że żadne konta nie pozostają "zawieszone" po odejściu. To podlega polityki dostępu i zarządzania zasobami przedsiębiorstwa, w szczególności części dotyczącej kończenia uprawnień dostępu.

Konkretnym dowodem na to jest lista kontrolna offboardingu lub procedura, która określa, które systemy są zamykane: e-mail, VPN, dyski współdzielone, aplikacje SaaS, dostęp do budynku i wszelkie klucze API lub loginy serwisowe, które były przypisane do tego pracownika. Silniejszym dowodem jest dziennik lub przegląd biletów pokazujący, że dzieje się to również w ustalonym terminie, na przykład tego samego dnia lub w ciągu 24 godzin. Jeśli są okresowe przeglądy kont — kwartalna kontrola, która wykrywa opuszczone konta — to jest dobre uzupełnienie, a ta kontrola powinna być również zaliczona do okresowymi testami środków bezpieczeństwa. Jeśli brakuje formalnej procedury, to "nie" jest uczciwa odpowiedź; obietnica, że "zwykle się to zdarza" nie jest odpowiedzią uzasadnioną.

Gdzie to podpada: artykuł 21 ust. 2 i Załącznik A

Kontrola dostępu wymieniania jest z nazwy w art. 21 ust. 2 dyrektywy NIS2 jako jeden z dziesięciu obowiązkowych środków, i to jest dokładnie kategoria, do której należy to pytanie — nie wymieniona osobno jako "offboarding", ale jako część kontroli dostępu w szerokim znaczeniu. W ISO/IEC 27001 pojawia się to bardziej szczegółowo w środkach kontroli Załącznika A, gdzie cofnięcie praw dostępu po zakończeniu zatrudnienia jest osobną kontrolą, odrębną od ogólnego przydzielania dostępu. Dla jednostek, które podlegać będą ustawie o cyberbezpieczeństwie od jej wejścia w życie, obowiązuje ten sam podział co w dyrektywie.