kund frågar hur vi återkallar åtkomst för anställda som slutat

Återkallande av åtkomst vid anställningsslut

Denna fråga testar om offboarding-processen är täckande: stängs åtkomsten för en anställd som slutat verkligen av, och sker det tillräckligt snabbt. Kunden vill inte ha en beskrivning av proceduren på papper, utan bevis för att det fungerar — att det inte finns några konton som blir "hängande" efter avgång. Detta faller under åtkomstpolicy och hantering av företagstillgångar, specifikt den del som handlar om att avsluta åtkomsträttigheter.

Konkret bevis för detta är en offboarding-checklista eller -procedur som anger vilka system som stängs av: e-post, VPN, delade enheter, SaaS-applikationer, byggnadstillträde och eventuella API-nycklar eller tjänstinloggningar som löpte på den anställdes namn. Starkare bevis är en logg eller biljettöversikt som visar att detta också sker inom en fastställd tidsram, till exempel samma dag eller inom 24 timmar. Om det finns periodiska kontoöversikter — en kvartalsvis kontroll som identifierar övergivna konton — är det ett bra komplement, och denna kontroll bör också höra till den periodiska testningen av säkerhetskontroller. Om det saknas en formell procedur är "nej" det ärliga svaret; ett löfte att det "vanligtvis händer" är inget underbyggt svar.

Var detta faller: artikel 21 stycke 2 och Bilaga A

Åtkomstkontroll namnges i artikel 21 punkt 2 i NIS2-direktivet som ett av de tio obligatoriska åtgärderna, och det är exakt kategorin som denna fråga faller under — inte separat benämnd som "offboarding", utan som en del av åtkomstkontroll i bred bemärkelse. I ISO/IEC 27001 återkommer detta mer specifikt i kontrollåtgärderna i Annex A, där återkallandet av åtkomsträttigheter vid anställningsslut är en egen kontroll, skild från den allmänna åtkomstbeviljningen. För enheter som faller under cybersäkerhetslag när den träder i kraft gäller samma indelning som i direktivet.