klientas klausia, kaip mes panaikintame darbuotojų, kurie išėjo, prieigą

Prieigos atšaukimas po darbuotojo atleidimo

Šis klausimas tikrina, ar atleidimo procesas yra nepralaidus: ar tikrai užsidaro išėjusio darbuotojo prieiga ir ar tai vyksta pakankamai greitai. Klientas nenori procedūros aprašymo ant popieriaus, bet įrodymų, kad tai tikrai veikia — kad paskyros nepalieka "kaboti" po atleidimo. Tai patenka į Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen, konkrečiai į dalį, kuri nagrinėja prieigos teisių nutraukimą.

Konkretus to įrodymas yra atleidimo kontrolinis sąrašas arba procedūra, kurioje nurodoma, kurios sistemos bus uždaros: el. paštas, VPN, bendrinamos diskai, SaaS programos, pastato prieiga ir visos API raktai ar paslaugų prisijungimai, kurie buvo to darbuotojo vardu. Stipresnis įrodymas yra žurnalas ar biletonų peržvalga, iš kurios matyti, kad tai įvykdyta per nustatytą laiką, pavyzdžiui, tą pačią dieną arba per 24 valandas. Jei yra periodiniai paskyrų peržiūrėjimai — ketvirčio tikrinimas, kuris randa apleistus paskyrų — tai yra geras papildymas, ir tas tikrinimas taip pat priklauso prie saugumo priemonių periodinio vertinimo. Jei trūksta formalios procedūros, teisingas atsakymas yra "ne"; pažadas, kad tai "dažniausiai vis tiek vyksta", nėra pagrįstas atsakymas.

Kur tai patenka: straipsnis 21, 2 dalis ir A priedas

Prieigos kontrolė vardiškai nurodyta NIS2 direktyvos 21 straipsnio 2 dalyje kaip viena iš dešimties privalomų priemonių, ir tai yra tiksliai kategorija, į kurią patenka šis klausimas — nėra atskirai vadinama "offboarding", bet kaip prieigos kontrolės dalis plačiąja prasme. ISO/IEC 27001 tai atsispindi konkrečiau A priedo valdymo priemonėse, kur prieigos teisių atšaukimas pasibaigus darbo santykiams yra atskira kontrolė, atskirai nuo bendro prieigos suteikimo. Subjektams, kurie pateks į Kibernetinio saugumo įstatymą jo įsigaliojus, galioja ta pati kategorija kaip direktyvoje.