Zákazník sa pýta, ako odvolávame prístup zamestnancov, ktorí odchádzajú

Odvolanie prístupu po ukončení pracovného pomeru

Táto otázka testuje, či je proces offboardingu tesný: či sa prístup odchádzajúceho zamestnanca skutočne zatvára a či sa to deje dostatočne rýchlo. Zákazník nechce popis postupu na papieri, ale dôkaz, že to aj FUNGUJE — že nezostávajú žiadne účty "zavesené" po odchode. To spadá pod politike prístupu a správe podnikových aktívspecificky do časti, ktorá sa zaoberá ukončením prístupových práv.

Konkrétnym dôkazom je kontrolný zoznam offboardingu alebo postup, ktorý stanovuje, KTORÉ systémy sa vypínajú: e-mail, VPN, zdieľané jednotky, aplikácie SaaS, prístup do budovy a prípadné API kľúče alebo servisné prihlasovacie údaje, ktoré boli na meno tohto zamestnanca. Silnejší dôkaz je protokol alebo prehľad tikietov, ktorý ukazuje, že sa to udiali aj v stanovenom časovom limite, napríklad ten istý deň alebo do 24 hodín. Ak existujú pravidelné kontroly účtov — štvrťročná kontrola, ktorá hľadá osirelé účty — je to dobrý doplnok a táto kontrola by tiež mala byť súčasťou periodickým testovaním bezpečnostných opatrení. Ak chýba formálny postup, potom je "nie" počestná odpoveď; sľub, že sa to "zvyčajne deje" nie je podložená odpoveď.

Kde to spadá: článok 21 odsek 2 a príloha A

Kontrola prístupu je uvedená menom v článku 21 odsek 2 smernice NIS2 ako jedno z desiatich povinných opatrení, a to je práve kategória, pod ktorú táto otázka spadá — nie osobitne uvedená ako "offboarding", ale ako súčasť kontroly prístupu v širšom zmysle. V norme ISO/IEC 27001 sa to objavuje špecifickejšie v kontrolných opatreniach prílohy A, kde odvolanie prístupových práv pri skončení pracovného pomeru je vlastnou kontrolou, oddelene od všeobecného udeľovania prístupu. Pre subjekty, ktoré budú podliehať Zákonu o kyberbezpečnosti hneď po jeho nadobudnutí účinnosti, platí rovnaké delenie ako v smernici.