Dotazník sa pýta, či sú účty odchádzajúcich zamestnancov zablokované

Zrušenie prístupu k účtom pri ukončení pracovného pomeru

Áno, toto je štandardná otázka v rámci správy prístupu a odpoveď je zvyčajne "áno", ak existuje pevný postup na zrušenie účtov pri ukončení pracovného pomeru. Otázka netestuje len to, či sa to deje, ale aj ako rýchlo: hneď posledný pracovný deň, alebo až pri ďalšom behu správy personálu. Klienti, ktorí si postavia otázky dôkladnejšie, chcú niekedy vidieť naznačenie doby spracovania, napríklad v SLA alebo pracovnom návode.

Ak neexistuje automatizovaná väzba medzi personálnym odchodom a IT prostredím, "áno" je stále často obhájiteľné, pokiaľ existuje manuálny kontrolný zoznam, ktorý niekto s danou funkciou skutočne absolvuje. Ak chýba väzba aj kontrolný zoznam, potom je "nie" správna odpoveď, a to aj keď sa v praxi zvyčajne všetko dobre darí — dotazník sa pýta na proces, nie na dobré úmysly správcu. Táto téma úzko súvisí s dokumentáciou politiky prístupu a správou firemného majetkua s otázkou, či je použitie viacfaktorové overovanie testované samostatne — účty, ktoré neboli zrušené, ale sú chránené pomocou MFA, sa v praxi oceňujú inak ako úplne nechránené účty.

Kde to spadá v článku 21 ods. 2

Zrušenie prístupu spadá pod opatrenia na kontrolu prístupu a správu firemného majetku podľa článku 21 ods. 2 Smernice NIS2 (2022/2555) a vracia sa v prílohe A normy ISO/IEC 27001 pri opatreniach na ochranu súvisiacich s ukončením alebo zmenou pracovného pomeru. Pre subjekty, ktoré podliehajú Zákonu o kybernetickej bezpečnosti, platí rovnaký zmysel, akonáhle tento zákon nadobudne účinnosť 15. augusta 2026; do tej doby smernica ako taká zatiaľ nie je priamo záväzná pre holandské podniky, ale mnohé zoznamy otázok klientov už text predbehnúť.