jak vyplnit, že odňimáme přístup odcházejícímu personálu

Tato otázka patří do zásad přístupu, ne do HR procesu

To spadá pod zásady přístupu, včetně správy firemních prostředků — ne pod samostatnou část HR. Dotazující se chce dozvědět, zda jsou účty, hesla a přístupová práva odcházejícího personálu strukturálně odvolána a zda k tomu dochází do pevné lhůty po posledním pracovním dni. Dobrou odpověď obsahuje tři věci: kdo provádí odvolání (IT, HR nebo automatizovaný proces), v jaké lhůtě k tomu dochází a zda se to vztahuje také na přístup k systémům třetích stran, jako jsou cloudové aplikace nebo VPN.

Pokud existuje pevný postup — například: HR hlásí ukončení zaměstnání, IT deaktivuje všechny účty do 24 hodin — pak lze "ano" podložit, pokud je tento proces skutečně zdokumentován a neděje se pouze v praxi. Chybí-li toto zdokumentování nebo dochází-li k odvolání bez pevné lhůty, pak je "ještě k určení" správnější odpověď: systém to navrhuje, dokud dossier neobsahuje popis postupu nebo doklady, a podnikatel si sám potvrdí, zda to chce upřesnit před podáním. Často jde pouze o zdokumentování toho, co se již děje, místo zavedení zcela nového procesu.

Proč to spadá pod správu přístupu: čl. 21 odst. 2 a Příloha A

Čl. 21 odst. 2 směrnice NIS2 uvádí zásady přístupu a správu firemních prostředků jako jednu z deseti povinných opatření; odvolání přístupu při ukončení zaměstnání je přímou součástí, protože stále aktivní účet bývalého zaměstnance je nespravovaným přístupovým bodem. ISO/IEC 27001 to dále rozpracovává v Příloze A, kde se zrušení nebo změna přístupových práv na konci pracovního poměru objevuje jako samostatné kontrolní opatření. U podniků, které samy spadají do rozsahu těchto pravidel — to je popsáno v otázce, zda podnikání spadá pod směrnici nebo její národní implementaci — pak to není fakultativní detail, ale součást povinných základních opatření.