vprašalnik sprašuje, kako preklicamo dostop, ko zaposljenec zapusti podjetje

Deprovizioniranje je del politike dostopa, ne HR-procesa

Vprašalnik želi tukaj vedeti, ali je odvzem dostopa ob prenehanju delovnega razmerja fiksni, dokumentirani proces — ne ad-hoc ukrep, ki je odvisen od tega, ali to vodja sporoči IT-u. Konkretno se običajno preverja: ali se dostop odvzame na zadnji delovni dan (ali prej), ali se to zgodi za vse sisteme vključno s skupnimi računi in oblačnimi aplikacijami, ter ali obstaja seznam ali avtomatiziran sprožilec, ki to zagotavlja. To spada med politiko dostopa in upravljanjem premoženja podjetja, in stranke kupci posebej vprašajo kot ločen del tega vprašanja, ne kot samostojno vprašanje.

Če formalnega procesa ni, vendar se dostop v praksi vedno odvzame, je "ne" s pojasnitvijo iskrenejši odgovor kot "da" brez dokazila. Dokazilo, ki zadošča tukaj: opis procesa ali seznam iz sistema za upravljanje identitete in dostopa, izvoz stanja računov po prenehanju delovnega razmerja, ali sklicevanje na HR off-boarding proces, v katerem je vključen IT korak. Če to dokazilo manjka, je odgovor zaenkrat "ne" — to ni kritika vprašalnika, to je vrzel, ki postane vidna in jo lahko naslovite neodvisno od tega seznama. Preverite tudi, ali ima večfaktorska avtentifikacija vlogo v odgovoru: nekateri stranke se posebej sprašujejo, ali se MFA žetoni in strojne ključe tudi odvzamejo, kar zahteva drugačno dokazilo kot samo odvzem računa; preverite to pri večfaktorska avtentifikacija za poslovne sisteme.

Kje to spada med deset ukrepov

Politika dostopa, vključno z odvzemom dostopa ob prenehanju delovnega razmerja, spada med ukrepe za nadzor dostopa in varnost zaposlenih, navedene v členu 21(2) direktive NIS2 (Direktiva (EU) 2022/2555). Tisti, ki delajo z ISO/IEC 27001, to prepoznajo kot nadzorni ukrep iz Prilog A o upravljanju dostopa in končanju delovnega razmerja; revizor bo tam običajno posebej vprašal po dokazilu zadnje izstopa iz službe, ne samo po politiki na papirju.