zákazník sa pýta, či okamžite pozastavíme prístup bývalých pracovníkov, ako to preukážem

Zrušenie pri ukončení zamestnania je zvyčajne odpoveď, "okamžité" je úskalia

Áno, v большинстве prípadov môžeš tu odpovedať potvrdzujúco — ale len ak vieš ukázať, že proces naozaj prebieha v rámci pevného, krátkého časového rámca, nielen že to predpisuje politika. Otázka testuje dve veci naraz: či je pravidlo na papieri a či proces funguje aj v praxi. Mnohí podnikatelia odpovedajú "áno" preto, že to hovorí dokument politiky, zatiaľ čo chýba dôkazný dokument: protokol alebo prehľad ticketov, z ktorého vyplýva, kedy bol účet skutočne deaktivovaný, v porovnaní s posledným pracovným dňom z personálnej agendy.

Ak nemáš tento prehľad, neodpovedaj automaticky "áno". Bez podkladného dôkazu je "nie" alebo "čiastočne" čestnejšia odpoveď, aj keď si istý, že proces existuje — zákazník totiž pýta na preukazovateľnosť, nie na sľub. Táto téma súvisí s politike prístupu a správe podnikových aktív: kto si nevedie centrálne registráciu prístupu k systémom a zariadeniam, nemôže pri ukončení zamestnania preukázať, že všetko bolo zrušené. A keď sa zrušenie prístupu často zhoduje s incidentu podobnou akciou (účet, ktorý musí byť "vypnutý"), je múdre spojiť túto odpoveď s postupu spracúvania incidentov bezpečnosti: niektorí zákazníci očakávajú, že zabytý účet bude zaregistrovaný ako incident.

Základ je v článku 21 ods. 2, písmeno i

Táto otázka spadá pod desať opatrení článku 21 ods. 2 smernice NIS2, konkrétne písmeno i o bezpečnosti personálu a politike prístupu. ISO/IEC 27001 to ďalej rozpracováva v prílohe A v kontrolných opatreniach týkajúcich sa ukončenia alebo zmeny pracovného pomeru a prístupových práv. Podniky, ktoré sú už certifikované podľa ISO 27001, zvyčajne majú tento dôkaz vypracovaný ako súčasť svojho auditného spisu — bez certifikátu je vlastný protokol alebo prehľad ticketov najvhodnejšou alternatívou.