ügyfelem azt kérdezi, azonnal visszavonunk-e hozzáférést a kiválók számára, hogyan bizonyíthatom ezt

Az intézkedés visszavonása általában igen, de az "azonnali" megvalósítás a buktatópont

Igen, a legtöbb esetben megerősítően válaszolhatsz — de csak akkor, ha be tudod mutatni, hogy a folyamat valóban egy rögzített, rövid időkereten belül megvalósul, és nem csak az irányelvben van előírva. A kérdés egyszerre két dolgot tesztel: az szabály papíron szerepel-e, és működik-e a folyamat a gyakorlatban is. Sok vállalkozó "igen"-nel válaszol, mert ezt az irányelvdokumentum előírja, míg az hiányzó bizonyíték: egy napló vagy jegyzetrendszer, amely azt mutatja, hogy egy fiók mikor volt ténylegesen letiltva, összevetve az utolsó munkanappal a HR-adminisztrációban.

Ha nincs meg ez az áttekintés, akkor ne válaszolj automatikusan "igen"-nel. Alapul szolgáló bizonyíték nélkül a "nem" vagy "részben" a tisztességesebb válasz, még akkor is, ha biztos vagy abban, hogy a folyamat létezik — a kliens ugyanis a bizonyíthatóságot kéri, nem ígéretet. Ez a téma szorosan kapcsolódik a hozzáférési szabályzat és az üzleti eszközök kezelésehez: aki nem regisztrálja központilag a felhasználók hozzáférését a rendszerekhez és eszközökhöz, az az intézkedés visszavonásakor sem tudja bizonyítani, hogy minden visszavonásra került. És mivel a hozzáférés visszavonása gyakran összecseng egy incidenssel járó intézkedéssel (egy fiók, amelynek "ki" kell lennie), okos dolog ezt a választ az alábbival összhangba hozni biztonsági incidensek kezelésére vonatkozó eljárás: egyes ügyfelek azt várják, hogy a elfelejtett fiók incidentként kerüljön naplózásra.

Az alapja a 21. cikk 2. bekezdés i) pontjában található

Ez a kérdés a NIS2-irányelv 21. cikk 2. bekezdésének tíz intézkedése alá tartozik, kifejezetten az i) pont a személyzetbiztonság és a hozzáférési politika vonatkozásában. Az ISO/IEC 27001 ezt tovább dolgozza ki az A mellékletben, a munkaviszonyt érintő vagy módosító szabályzatok és a hozzáférési jogok kezelésének ellenőrzési intézkedéseiben. Az ISO 27001-tanúsítvánnyal rendelkező vállalatok ezt az igazolást általában már rendelkezésükre állnak a auditdosszié részeként — ha nincs tanúsítvány, akkor egy saját naplózási vagy jegyzetkezelési áttekintés a legközvetlenebb alternatíva.