kunde spørger, hvordan vi tilbagekalder adgang for medarbejdere, der forlader virksomheden

Tilbagekaldelse af adgang efter opsigelse

Dette spørgsmål tester, om offboarding-processen er forsvarlig: bliver en afgået medarbejders adgang virkelig lukket, og sker det hurtigt nok. Kunden ønsker ikke en beskrivelse af proceduren på papir, men bevis for, at det virker — at der ikke bliver nogen konti, der bliver liggende "hengende" efter afgang. Dette falder under adgangspolitikken og styringen af virksomhedsressourcer, specifikt den del, der omhandler ophør af adgangsrettigheder.

Konkret bevis herfor er en offboarding-tjekliste eller -procedure, der fastslår, hvilke systemer der bliver lukket: e-mail, VPN, delte drev, SaaS-applikationer, bygningsadgang og eventuelle API-nøgler eller servicelogins, der løb på navn på denne medarbejder. Stærkere bevis er en log eller ticket-oversigt, der viser, at dette også sker inden for en fastsat frist, for eksempel samme dag eller inden for 24 timer. Hvis der foretages periodiske kontorevisioner — en kvartalskontrol, der opsporar forældede konti — er det et godt supplement, og denne kontrol hører også til den periodiske test af sikkerhedsforanstaltninger. Hvis en formel procedure mangler, er "nej" det ærlige svar; et løfte om, at det "som regel nok sker" er ikke et dokumenteret svar.

Hvor dette falder ind under: artikel 21 stk. 2 og Bilag A

Adgangskontrol er med navn nævnt i artikel 21, stk. 2 i NIS2-direktivet som et af de ti obligatoriske foranstaltninger, og det er præcis den kategori, dette spørgsmål falder under — ikke særskilt benævnt som "offboarding", men som en del af adgangskontrol i bred forstand. I ISO/IEC 27001 genfindes dette mere specifikt i kontrolforanstaltningerne i Annex A, hvor tilbagekaldelse af adgangsrettigheder ved afslutning af ansættelsesforhold er en selvstændig kontrol, adskilt fra den generelle adgangstildeling. For enheder, der kommer under Cybersikkerhedsloven, når denne træder i kraft, gælder samme inddeling som i direktivet.