hvordan udfylder jeg, at vi tilbagekalder adgang for afgåede medarbejdere

Dette spørgsmål hører til adgangspolitik, ikke til HR-proces

Dette falder under adgangspolitikken, herunder styringen af virksomhedsaktiver — ikke under en separat HR-afdeling. Den part, som stiller spørgsmålet, ønsker at vide, om konti, adgangskoder og adgangsrettigheder for afgåede medarbejdere systematisk tilbagekaldes, og om det sker inden for en fast frist efter den sidste arbejdsdag. Et godt svar nævner tre ting: hvem der udfører tilbagekaldelsen (IT, HR eller en automatiseret proces), inden for hvilken frist det sker, og om det også gælder adgang til systemer fra tredjepart såsom cloudapplikationer eller VPN.

Hvis der findes en fast procedure — for eksempel: HR melder fratrædelse, IT deaktiverer alle konti inden for 24 timer — så kan "ja" understøttes, forudsat at denne proces også virkelig er dokumenteret og ikke blot praktiseres. Hvis denne dokumentation mangler, eller hvis tilbagekaldelsen sker ad hoc uden fast frist, så er "endnu til at fastslå" det mere ærlige svar: systemet foreslår dette, så længe dossieret ikke indeholder en procedurebeskrivelse eller bevisstykke, og virksomheden bekræfter selv, om han ønsker at præcisere det, før han indgiver det. Ofte handler det om at dokumentere noget, der allerede sker, i stedet for at etablere en helt ny proces.

Hvorfor dette falder under adgangsstyring: artikel 21, stk. 2 og Bilag A

Artikel 21, stk. 2 i NIS2-direktivet nævner adgangspolitik og styring af virksomhedsaktiver som en af ti obligatoriske foranstaltninger; tilbagekaldelsen af adgang ved fratrædelse er direkte omfattet heri, fordi en fortsat aktiv konto for en tidligere medarbejder udgør et uovervåget adgangspunkt. ISO/IEC 27001 udvikler dette videre i Bilag A, hvor ophør eller ændring af adgangsrettigheder ved ophør af ansættelsesforholdet optræder som en separat styringskontrol. For virksomheder, der selv falder under anvendelsesområdet for disse regler — det er beskrevet ved spørgsmålet om virksomheden falder under direktivet eller den nationale gennemførelse — er dette heller ikke en valgfri detalje, men en del af de obligatoriske basale foranstaltninger.