klient pyta, czy natychmiast odmawiamy dostępu pracownikom po rozwiązaniu umowy, jak to udowodnić

Wycofanie przy rozwiązaniu umowy to zwykle odpowiedź, "natychmiast" to pułapka

Tak, w większości przypadków możesz udzielić potwierdzonej odpowiedzi — ale tylko jeśli potrafisz wykazać, że proces rzeczywiście zachodzi w ustalonym, krótkim terminie, nie tylko że polityka to nakazuje. Pytanie testuje dwie rzeczy jednocześnie: czy zasada jest zapisana na papierze i czy proces działa również w praktyce. Wielu przedsiębiorców odpowiada "tak", ponieważ dokument polityki to mówi, podczas gdy brakuje dowodu: logu lub przeglądu zgłoszeń pokazujących, kiedy konto zostało rzeczywiście wyłączone, w stosunku do ostatniego dnia pracy z administracji HR.

Jeśli nie masz tego przeglądu, nie odpowiadaj automatycznie "tak". Bez dowodu jest "nie" lub "częściowo" szczerszą odpowiedzią, nawet jeśli jesteś pewien, że proces istnieje — klient pyta bowiem o udowodnienie, a nie o obietnicę. Ten temat wiąże się z polityki dostępu i zarządzania zasobami przedsiębiorstwa: kto nie rejestruje centralnie dostępu do systemów i urządzeń, nie może wykazać przy rozwiązaniu umowy, że wszystko zostało wycofane. A ponieważ wycofanie dostępu często zbiega się z czynnością podobną do incydentu (konto, które musi być "wyłączone"), warto, aby ta odpowiedź była powiązana z procedury obsługi incydentów bezpieczeństwa: niektórzy klienci oczekują, że zapomniane konto zostanie zarejestrowane jako incydent.

Podstawa znajduje się w artykule 21 ust. 2 lit. i

To pytanie należy do dziesięciu środków artykułu 21 ust. 2 dyrektywy NIS2, w szczególności lit. i dotyczącej bezpieczeństwa personelu i polityki dostępu. ISO/IEC 27001 rozwija to dalej w Załączniku A, w środkach kontroli dotyczących zakończenia lub zmiany zatrudnienia oraz praw dostępu. Firmy, które są już certyfikowane ISO 27001, zwykle mają ten dowód jako część dokumentacji audytu — brak certyfikatu, wtedy własny log lub przegląd zgłoszeń to najdowodniejsza alternatywa.