Kako izpolnim, da odmevamo dostop osebja, ki zapušča podjetje

To vprašanje spada pod politiko dostopa, ne v HR-proces

To spada pod politiko dostopa, vključno z upravljanjem poslovnih sredstev — ne spada pod ločen HR-del. Spraševajoča stranka želi vedeti, ali se računi, gesla in dostopne pravice odhajajoče osebja sistematično preklicujejo in ali se to zgodi v določenem roku po zadnjem delovnem dnevu. Dober odgovor navaja tri stvari: kdo izvršo preklic (IT, HR ali avtomatizirani proces), v kakšnem časovnem roku se to zgodi in ali to velja tudi za dostop do sistemov tretjih oseb, kot so oblačne aplikacije ali VPN.

Če obstaja stalna procedura — na primer: HR obvesti o izstopu iz službe, IT deaktivira vse račune v 24 urah — potem je »da« mogoče utemeljiti, vendar le, če je tak proces tudi dejansko dokumentiran in se ne dogaja le v praksi. Če manka ta dokumentacija ali se preklic izvršuje ad hoc brez stalnega roka, je »še treba določiti« poštenejši odgovor: sistem to predlaga, dokler dossier nima opis procedures ali dokazila, in podjetnik sam potrdi, ali to želi ostrostreliti, preden predloži. Pogosto gre za dokumentiranje nečesa, kar že poteka, namesto da bi se vzpostavljal nov proces.

Zakaj to spada pod upravljanje dostopa: članek 21 odstavek 2 in Prilog A

Članek 21 odstavek 2 direktive NIS2 navaja politiko dostopa in upravljanje poslovnih sredstev kot eno od desetih obveznih ukrepov; preklic dostopa ob izstopu iz službe je neposredni del tega, ker je trajno aktiven račun nekdanjega zaposlenega nenadzorovan dostopni punkt. ISO/IEC 27001 to naprej razvija v Prilogu A, kjer se beleženje ali sprememba dostopnih pravic ob koncu delovnega razmerja pojavljata kot ločen ukrep nadzora. Za podjetja, ki sama sodijo v obseg teh pravil — to je opisano v vprašanju, ali podjetje spada pod direktivo ali njeno nacionalno izvajanje — to torej ni neobvezujoča podrobnost, temveč del obveznih temeljnih ukrepov.