Stranka vprašuje, kako odvzamemo dostop zaposlenim, ki odidejo

Odpravo dostopa ob prenehanju delovnega razmerja

To vprašanje preverja, ali je postopek offboardinga tesno zasnovan: ali se dostop razštetega zaposlenega res zapre in se to zgodi dovolj hitro. Naročnik ne želi opis postopka na papirju, ampak dokaz, da tudi deluje — da nobeni računi ne ostanejo »obešeni« po odhodu. To spada pod politiko dostopa in upravljanje sredstev podjetja, posebno del, ki se osredotoča na preklic pravic dostopa.

Konkreten dokaz za to je seznam ali postopek offboardinga, ki zapiše, KATERI sistemi se izklopijo: e-pošta, VPN, skupne pogone, aplikacije SaaS, dostop do stavbe in morebitni ključi API ali prijave storitev, ki so tekle na ime tega zaposlenega. Boljši dokaz je dnevnik ali pregled vstopnic, ki kaže, da se je to zgodilo tudi v dogovorjenem roku, na primer isti dan ali v 24 urah. Če obstajajo periodični pregledi računov — četrtletna kontrola, ki odkriva zapuščene račune — je to dobra dopolnitev in je ta kontrola tudi del periodičnim testiranjem varnostnih ukrepov. Če manjka formalni postopek, je »ne« pošten odgovor; obljuba, da se »običajno« zgodi, ni utemeljeni odgovor.

Kje se to uvrsti: Člen 21(2) in Prilog A

Nadzor dostopa je z imenom naveden v členu 21(2) direktive NIS2 kot ena od desetih obveznih ukrepov, in to je natanko kategorija, v katero spada to vprašanje — ni posebej navedeno kot »offboarding«, ampak kot del nadzora dostopa v širšem smislu. V ISO/IEC 27001 se to pojavi bolj specifično v kontrolnih ukrepih Priloge A, kjer je preklic pravic dostopa ob koncu delovnega razmerja lastna kontrola, ločena od splošnega dodeljevanja dostopa. Za subjekte, ki bodo podvrženi Zakonu o kibernetski varnosti, ko ta začne veljati, velja enaka razvrstitev kot v direktivi.