zákazník se ptá, zda přímo odňimáme přístup odcházejícím zaměstnancům, jak to dokážu

Odvolání při skončení zaměstnání je obvykle správná odpověď, "okamžitě" je přitom zrada

Ano, ve většině případů zde můžeš odpovědět kladně — ale pouze pokud můžeš prokázat, že se proces skutečně odehraje v pevné, krátké lhůtě, a ne pouze to, že je stanoven v politice. Otázka testuje dvě věci zároveň: je pravidlo na papíře a funguje proces i v praxi. Mnoho podnikatelů odpovídá "ano" proto, že to říká dokument zásad, zatímco chybí důkaz: log nebo přehled ticketů, z nichž vyplývá, kdy byl účet skutečně vypnut, porovnáno s posledním pracovním dnem z HR evidence.

Pokud takový přehled nemáš, neodpovídej automaticky "ano". Bez podkladového důkazu je "ne" nebo "částečně" poctivější odpověď, i když jsi si jistý, že postup existuje — zákazník totiž ptá se na prokázatelnost, ne na slib. Toto téma souvisí s zásad přístupu a správy podnikových prostředků: kdo si neuchovává centrálně registraci přístupu ke systémům a zařízením, nemůže při skončení zaměstnání prokázat, že byl veškerý přístup odvolán. A protože odvolání přístupu se často shoduje s akcí podobnou incidentu (účet, který se musí "vypnout"), je rozumné sladit tuto odpověď s postupu pro bezpečnostní incidenty: někteří zákazníci očekávají, že zapomenutý účet bude zaznamenán jako incident.

Základ je v článku 21 odst. 2, písm. i

Tato otázka spadá pod deset opatření článku 21 odst. 2 směrnice NIS2, konkrétně pod písm. i týkající se bezpečnosti personálu a zásad přístupu. ISO/IEC 27001 to dále rozpracovává v příloze A v kontrolách týkajících se ukončení nebo změny zaměstnání a přístupových práv. Podniky, které již mají certifikaci ISO 27001, obvykle mají tento důkaz k dispozici jako součást svého auditního spisu — bez certifikátu je vlastní log nebo přehled ticketů nejpřímělejší alternativou.