chestionarul întreabă cum revocăm accesul când un angajat se pensionează

Deprovisioning-ul face parte din politica de acces, nu din procesul HR

Lista de verificare vrea să afle aici dacă retragerea accesului la încetarea angajării este un proces fix și documentat — nu o acțiune ad-hoc care depinde de faptul că managerul o comunică IT-ului. În practică, se evaluează de obicei: se retrage accesul în ultima zi de lucru (sau mai devreme), se întâmplă aceasta pentru toate sistemele, inclusiv conturile partajate și aplicațiile cloud, și există o listă de verificare sau un trigger automatizat care să o garanteze. Aceasta se încadrează în politica de acces și gestionarea activelor corporative, iar mulți clienți o solicită specific ca parte separată a acestei întrebări, nu ca o întrebare izolată.

Dacă nu există un proces formal, dar accesul este retras în practică în mod constant, "nu" cu o explicație este mai onest decât un "da" fără dovezi. Dovezile care de obicei sunt suficiente aici: o descriere a procesului sau o listă de verificare din sistemul de gestionare a identității și accesului, o export al stărilor de cont după încetarea angajării, sau o referință la procesul de offboarding HR în care este inclusă etapa IT. Dacă lipsește acea dovadă, răspunsul pentru acum este "nu" — aceasta nu este o respingere a listei de verificare, este o lacună care devine vizibilă și pe care o poți umple independent de această listă. Vezi, de asemenea, dacă autentificarea multifactorială joacă un rol în răspuns: unii clienți întreabă specific dacă tokenurile MFA și cheile hardware sunt, de asemenea, recuperate, ceea ce necesită o altă dovadă decât doar retragerea unui cont; caută pentru aceasta la autenticarea multifactor pentru sistemele de întreprindere.

Unde cade aceasta în cele zece masuri

Politica de acces, inclusiv retragerea accesului la încetarea raportului de muncă, cade sub masurile de control al accesului și protecția personalului menționate în articolul 21 alineatul 2 din Directiva NIS2 (Directiva (UE) 2022/2555). Cine lucrează cu ISO/IEC 27001, recunoaște aceasta ca o măsură de control din Anexa A privind gestionarea accesului și încetarea unui raport de muncă; un auditor va cere de obicei în mod specific dovada ultimei încetări a raportului de muncă, nu doar politica pe hârtie.