kund frågar om vi omedelbar återkallar åtkomst från utplacerade medarbetare, hur bevisar jag det

Återkallelse vid tjänstutgång är vanligtvis svaret, "omedelbar" är fällan

Ja, i de flesta fall får du svara jakande här — men bara om du kan visa att processen också verkligen sker inom en fast, kort tid, inte bara att policyn föreskriver det. Frågan testar två saker samtidigt: står regeln på papper, och fungerar processen även i praktiken. Många företagare svarar "ja" för att policydokumentet säger det, medan det saknade bevisstycket är: en logg eller ticketöversikt som visar när ett konto faktiskt har inaktiverats, jämfört med den sista arbetsdagen från HR-administrationen.

Om du inte har den här översikten, svara då inte automatiskt "ja". Utan underliggande bevis är "nej" eller "delvis" det mer ärliga svaret, även om du är säker på att processen finns — kunden frågar nämligen om verifierbarhet, inte om ett löfte. Det här ämnet hänger ihop med åtkomstpolicy och hantering av företagstillgångar: den som inte centralt registrerar vem som har åtkomst till system och utrustning kan inte visa vid tjänstutgång att allt har återkallats. Och eftersom återkallelse av åtkomst ofta sammanfaller med en incidentliknande åtgärd (ett konto som måste "stängas av"), är det smart att få detta svar att ansluta till proceduren för säkerhetsincidenter: vissa kunder förväntar sig att ett glömt konto loggas som en incident.

Grunden finns i artikel 21 punkt 2, led i

Den här frågan faller under de tio åtgärderna i artikel 21 punkt 2 i NIS2-direktivet, specifikt led i om personalsäkerhet och åtkomstpolicy. ISO/IEC 27001 utvecklar detta vidare i Annex A, i kontrollåtgärderna om uppsägning eller ändring av anställningsförhållandet och om åtkomsträttigheter. Företag som redan är ISO 27001-certifierade har vanligtvis redan det här beviset som en del av sitt revisionsdossier — inget certifikat, då är en egen logg eller ticketöversikt det mest direkta alternativet.