Kā es aizpildu, ka mēs atceļam izstājoša personāla piekļuvi

Šis jautājums ir saistīts ar piekļuves politiku, nevis ar HR procesu

Tas ietilpst piekļuves politikā, ieskaitant darba līdzekļu pārvaldību — nevis atsevišķā HR daļā. Jautājuma uzcēlējam ir svarīgi uzzināt, vai darbinieku konti, paroles un piekļuves tiesības sistēmiski tiek atsauktas, kad viņi atstāj darbu, un vai tas notiek noteiktā laika periodā pēc pēdējās darba dienas. Labā atbilde satur trīs lietas: kurš veic piekļuves atsaukšanu (IT, HR vai automatizēts process), kādā laika periodā tas notiek, un vai tas attiecas arī uz piekļuvi trešo pušu sistēmām, piemēram, mākoņ programmatūrai vai VPN.

Ja pastāv noteikta procedūra — piemēram: HR paziņo par darba beigšanu, IT atspējo visus kontus 24 stundu laikā — tad "jā" var pamatot, ja vien šis process patiešām ir dokumentēts un ne tikai praktiski tiek īstenots. Ja dokumentācija trūkst vai piekļuves atsaukšana notiek ad hoc bez noteikta laika perioda, tad "vēl ir jānosaka" ir godīgāka atbilde: sistēma to piedāvā tik ilgi, kamēr dossierā nav procedūras apraksta vai pierādījuma, un uzņēmējs pats apstiprina, vai viņš to vēlas precizēt pirms iesūtīšanas. Bieži vien tas ir jautājums par kaut kāda dokumentēšanu, kas jau notiek, nevis jauna procesa ieviešanu.

Kāpēc tas ietilpst piekļuves pārvaldībā: 21. panta 2. punkts un A pielikums

NIS2 direktīvas 21. panta 2. punkts nosaka piekļuves politiku un darba līdzekļu pārvaldību kā vienu no desmit obligātajiem pasākumiem; piekļuves atsaukšana darba beigšanā ir tieši šī daļa, jo aktīvs atsevišķs bijušā darbinieka konts ir neuzraudzīts piekļuves punkts. ISO/IEC 27001 to turpina A pielikumā, kur piekļuves tiesību pārtraukšana vai izmaiņas darba attiecību beigšanā ir atsevišķs pārvaldības pasākums. Uzņēmumiem, kas paši ietilpst šo noteikumu darbības sfērā — tas ir aprakstīts jautājumā par to, vai uzņēmums ietilpst direktīvā vai nacionālā transponēšanā — tas nav arī neobligāts detaļa, bet gan obligātais pamatpasākumu daļa.