frågelistan frågar om konton för anställda som slutat blockeras

Avetablering av konton vid anställningsslut

Ja, detta är en standardfråga inom åtkomsthantering, och vanligtvis är svaret "ja" om det finns ett fast förfarande för att dra in konton vid anställningsslut. Frågan testar inte bara om det händer, utan också hur snabbt: omedelbar på sista arbetsdagen, eller först vid nästa körning av personaladministrationen. Kunder som granskar noggrant vill ibland se en indikation på genomloppstiden, till exempel i ett SLA eller en arbetsinstruktion.

Om det inte finns någon automatiserad koppling mellan HR-utflödet och IT-miljön, är "ja" ofta fortfarande försvarbar, förutsatt att det finns en manuell checklista som någon med en funktion faktiskt går igenom. Om både kopplingen och checklistan saknas, då är "nej" det ärliga svaret, även om det i praktiken vanligtvis fungerar bra — en enkät frågar om processen, inte om administratörens goda avsikter. Detta ämne är nära relaterat till fastställande av åtkomstpolicy och hantering av företagstillgångar, och till frågan om flerfaktorsautentisering testas separat — konton som inte har dragits in men är säkrade med MFA väger i praktiken annorlunda än helt oskyddade konton.

Var detta faller under artikel 21 punkt 2

Avetablering faller under åtgärderna för åtkomstkontroll och hantering av företagstillgångar från artikel 21 punkt 2 i NIS2-direktivet (2022/2555), och förekommer igen i Annex A i ISO/IEC 27001 vid kontrollåtgärderna kring anställningsslut eller ändring av ett anställningsförhållande. För enheter som omfattas av cybersäkerhetsskyddslagen gäller samma innebörd så snart denna lag träder i kraft den 15 augusti 2026; fram till dess är direktivet själv ännu inte direkt bindande för nederländska företag, men många kundenkäter löper redan på texten.