client întreabă cum revocăm accesul angajaților care pleacă

Retragerea accesului după încetarea raportului de muncă

Această întrebare testează dacă procesul de offboarding este etan: accesul angajatului care a plecat se închide cu adevărat și se întâmplă suficient de repede. Clientul nu dorește o descriere a procedurii pe hârtie, ci dovezi că funcționează de fapt — că niciun cont nu rămâne "suspendat" după plecare. Aceasta se încadrează sub politica de acces și gestiunea activelor de afaceri, în special în secțiunea care tratează încetarea drepturilor de acces.

Dovada concretă pentru aceasta este o listă de verificare sau procedură de offboarding care stabilește CARe sisteme sunt deconectate: e-mail, VPN, unități partajate, aplicații SaaS, acces la clădire și orice chei API sau login-uri de serviciu care funcționau în numele acelui angajat. O dovadă mai puternică este un jurnal sau o imagine de ansamblu a biletelor din care reiese că acest lucru se întâmplă și într-o perioadă stabilită, de exemplu în aceeași zi sau în 24 de ore. Dacă există evaluări periodice de conturi — o verificare trimestrială care identifică conturile orfane — aceasta este o completare bună, și această verificare trebuie să fie și parte a testarea periodică a măsurilor de securitate. Dacă lipseşte o procedură formală, atunci "nu" este răspunsul cinstit; o promisiune că "de obicei se întâmplă oricum" nu este un răspuns fundamentat.

Unde se aplică aceasta: articolul 21 alineatul 2 și Anexa A

Controlul accesului este menționat cu numele în articolul 21 alineatul 2 al Directivei NIS2 ca una dintre cele zece măsuri obligatorii, și aceasta este exact categoria sub care se încadrează această întrebare — nu este menționată separat ca "offboarding", ci ca parte a controlului accesului în sens larg. În ISO/IEC 27001, aceasta apare mai specific în măsurile de control din Anexa A, unde retragerea drepturilor de acces la încetarea raportului de muncă este un control distinct, separat de acordarea generală a accesului. Pentru entități care vor intra sub aplicarea Legii privind securitatea cibernetică odată ce aceasta intră în vigoare, se aplică aceeași clasificare ca în directivă.