enkäten frågar hur vi återkallar åtkomst när en medarbetare slutar

Avetablering är en del av åtkomstpolicyn, inte av HR-process

Frågorna vill här veta om återkallandet av åtkomst vid anställningsavslut är en fast, dokumenterad process — ingen ad-hoc-åtgärd som beror på om chefen skickar det till IT. Konkret brukar man vanligtvis testa: återkallas åtkomsten på sista arbetsdagen (eller tidigare), sker det för alla system inklusive delade konton och molnapplikationer, och finns det en checklista eller automatiserad trigger som säkerställer detta. Detta faller under åtkomstpolicy och hantering av företagstillgångar, och många kunder frågar specifikt om det som en separat del av den frågan, inte som en separat fråga.

Om det inte finns en formell process, men åtkomsten i praktiken alltid återkallas, är "nej" med en förklaring ärligare än ett "ja" utan dokumentation. Bevis som ofta räcker här: en procesbeskrivning eller checklista från identitets- och åtkomsthanteringssystemet, en export av kontostatus efter anställningsavslut, eller en referens till HR-offboardingprocessen där IT-steget ingår. Om detta bevis saknas är svaret för närvarande "nej" — det är inte ett ogillande av frågorna, det är ett gap som blir synligt och som du kan åtgärda oberoende av denna lista. Se också om flerfaktorsautentisering spelar en roll i svaret: vissa kunder frågar specifikt om MFA-token och hårdvarunycklar också tas bort, vilket kräver en annan dokumentation än enbart återkallandet av ett konto; leta efter det under flerfaktorsautentisering för företagssystem.

Där detta faller under de tio åtgärderna

Åtkomstpolicyn, inklusive återkallandet av åtkomst vid anställningsavslut, faller under åtgärderna för åtkomstkontroll och personalsäkerhet som nämns i artikel 21 stycke 2 i NIS2-direktivet (Direktiv (EU) 2022/2555). Den som arbetar med ISO/IEC 27001 känner igen detta som en ledningskontroll från Annex A om åtkomsthantering och avslutande av anställningsförhållande; en revisor kommer vanligtvis att fråga specifikt efter dokumentationen från den senaste anställningsavslutningen, inte bara policyn på papper.