Ako vyplním, že odvolávame prístup odchádzajúcemu personálu

Táto otázka patrí k politike prístupu, nie k procesu ľudských zdrojov

Toto patrí pod politiku prístupu vrátane správy firemného majetku — nie pod samostatný oddiel ľudských zdrojov. Opytujúca sa strana chce vedieť, či sa účty, heslá a prístupové práva odchádzajúceho personálu štruktúrálne rušia a či sa tak stane v rámci stanovenej lehoty po poslednom pracovnom dni. Dobrá odpoveď spomína tri veci: kto vykonáva rušenie (IT, HR alebo automatizovaný proces), v akej lehote sa to stane a či to platí aj pre prístup k systémom tretích strán, ako sú cloudové aplikácie alebo VPN.

Ak existuje stanovenej postup — napríklad: HR nahlasuje ukončenie zamestnania, IT dezaktivuje všetky účty do 24 hodín — potom možno "áno" zdôvodniť, pokiaľ je tento proces skutočne zdokumentovaný a nestáva sa len v praxi. Ak chýba táto dokumentácia alebo k rušeniu dochádza ad hoc bez stanovenej lehoty, potom je "ešte sa má určiť" poctivejšia odpoveď: systém to navrhuje dovtedy, kým dossier nemá popis postupu alebo dôkazný dokument, a podnikateľ sám potvrdzuje, či to chce spresniť predtým, ako podá návrh. Často ide o to, aby sa niečo zdokumentovalo, čo sa už deje, namiesto toho, aby sa vytvorilo úplne nový proces.

Prečo to patrí pod správu prístupu: článok 21 odsek 2 a príloha A

Článok 21 odsek 2 smernice NIS2 spomína politiku prístupu a správu firemného majetku ako jedno z desiatich povinných opatrení; rušenie prístupu pri ukončení zamestnania je jeho priamou súčasťou, pretože pokračujúci aktívny účet bývalého zamestnanca predstavuje nespravovaný prístupový bod. Norma ISO/IEC 27001 to ďalej rozpracováva v prílohe A, kde sa zrušenie alebo zmena prístupových práv pri skončení zamestnania objavuje ako samostatné kontrolné opatrenie. Pre spoločnosti, ktoré samy spadajú do rozsahu týchto pravidiel — to je opísané v otázke, či podnik podlieha smernici alebo jej národnej transpozícii — nejde teda ani o fakultatívny detail, ale o súčasť povinných základných opatrení.