cum completez că revocăm accesul personalului care se retrage

Această întrebare se referă la politica de acces, nu la procesul HR

Aceasta se încadrează în politica de acces, inclusiv managementul mijloacelor de intreprindere — nu sub o subdiviziune HR separată. Partea care pune întrebări doreste să afle dacă conturile, parolele și drepturile de acces ale personalului plecat sunt revocate în mod structurat, și dacă aceasta se intâmplă într-un termen fix după ultima zi de lucru. Un răspuns bun menționează trei lucruri: cine execută revocarea (IT, HR, sau un proces automatizat), în ce termen se intâmplă aceasta, și dacă se aplică și la accesul la sisteme ale terților cum ar fi aplicații cloud sau VPN.

Dacă există o procedură stabilită — de exemplu: HR anunță încetarea relației de muncă, IT dezactivează toate conturile în termen de 24 de ore — atunci "da" poate fi justificat, cu condiția ca acel proces să fie într-adevăr documentat și să nu se întâmple doar în practică. Dacă documentarea lipseste, sau revocarea se intâmplă ad-hoc fără termen fix, atunci "încă de determinat" este răspunsul mai corect: sistemul propune aceasta atâta timp cât dosarul nu are o descriere a procedurii sau o dovadă, iar antreprenorul confirmă singur dacă doreste să o clarifice înainte de a depune. Adesea este o chestiune de a documenta ceva ce deja se întâmplă, în loc să se creeze un proces nou.

De ce aceasta cade sub controlul accesului: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 al Directivei NIS2 menționează politica de acces și gestionarea activelor întreprinderii ca una dintre cele zece măsuri obligatorii; retragerea accesului la încetarea raportului de muncă este o parte directă a acesteia, deoarece un cont ramas activ al unui fost angajat reprezintă un punct de acces nesupravegheat. ISO/IEC 27001 dezvoltă acest lucru în continuare în Anexa A, unde încetarea sau modificarea drepturilor de acces la sfârsitul raportului de muncă apar ca măsură de control separată. Pentru întreprinderi care însuși se încadrează în domeniul de aplicare al acestor reguli — aceasta este descrisă la întrebarea cu privire la dacă întreprinderea se încadrează sub directivă sau transpunerea acesteia la nivel național — aceasta nu este prin urmare un detaliu lipsit de obligativitate, ci face parte din măsurile de bază obligatorii.