asiakas kysyy, peruutammeko poistuvien työntekijöiden pääsyn välittömästi, kuinka todistan sen

Poisto irtisanomisen yhteydessä on yleensä kyllä vastaus, "välittömästi" on sudenkuoppa

Kyllä, useimmissa tapauksissa voit vastata myöntävästi — mutta vain, jos voit osoittaa, että prosessi todella tapahtuu määritetyn lyhyen ajan kuluessa, eikä vain siksi, että käytäntö sen määrää. Kysymys testaa kahta asiaa samanaikaisesti: onko sääntö dokumentissa, ja toimiiko prosessi myös käytännössä. Monet yrittäjät vastaavat "kyllä", koska käytäntödokumentti sen sanoo, mutta puuttuvaksi todisteeksi jää: loki tai tikettivalikko, josta näkyy, milloin tili todella poistettiin, verrattuna HR-hallinnon viimeiseen työpäivään.

Jos sinulla ei ole sitä valikkoa, älä vastaa automaattisesti "kyllä". Ilman taustalla olevaa todisteita "ei" tai "osittain" on rehellisempi vastaus, vaikka sinulla olisi varmuus prosessista — asiakas nimittäin pyytää todistettavuutta, ei lupaa. Tämä aihe liittyy pääsynhallintaan ja yritysvarojen hallintaan: kuka ei keskitetysti rekisteröi pääsyä järjestelmiin ja laitteisiin, ei voi irtisanomisen yhteydessä osoittaa, että kaikki on revitty. Ja koska pääsyn poistaminen usein osuu yhteen tapahtumankaltaisen toiminnon kanssa (tili, joka on "sammutettu"), on järkevää sovittaa tämä vastaus yhteen tietoturvapoikkeamien menettely: jotkut asiakkaat odottavat unohtuneen tilin kirjautuvan poikkeamaksi.

Perusta on artiklan 21 kohdan 2 alakohdassa i

Tämä kysymys kuuluu NIS2-direktiivin artiklan 21 kohdan 2 kymmenen toimeen, erityisesti alakohdan i henkilöstöturvallisuutta ja pääsynhallintoa koskevaan osaan. ISO/IEC 27001 kehittää tätä edelleen Lisäksi A:ssa, palvelun päättymistä tai muutosta sekä käyttöoikeuksia koskevia hallintotoimia koskevissa osissa. Yritykset, jotka ovat jo ISO 27001 -sertifioituja, yleensä omistavat tämän todisteen osana auditointitiedostoaan — jos sertifikaattia ei ole, oma loki- tai tikettivalikko on suoraviivaisin vaihtoehto.