Политика за въвеждане в работата и прекратяване на правоотношенията - SME

Политиката за въвеждане в работата и прекратяване на правоотношенията (P07S) служи като критичен контрол за организации, които търсят да управляват пълния жизнен цикъл на потребителския достъп по сигурен, съответстващ и одитируем начин. Тази политика е специално адаптирана за малки и средни предприятия (МСП), както е посочено от „S“ в номера на документа и възлагането на отговорности на роли като главен изпълнителен директор и офис мениджър/Човешки ресурси (ЧР), вместо специализирани екипи като директор по информационна сигурност (CISO) или Център за операции по сигурността (SOC). Въпреки това тя изпълнява изискванията на ключови рамки, включително ISO/IEC 27001:2022. Целта на политиката е да дефинира, стандартизира и документира процеси за въвеждане на нови служители, изпълнители и доставчици на услуги на трети страни, като същевременно осигурява надеждни контроли за техния процес на прекратяване или вътрешна промяна на роля. Тя прилага принципа на най-малките привилегии при предоставяне на достъп, използва контролни списъци за формализиране на проверката на издаване и връщане на активи и изисква документирани журнали за промени по акаунти и активи. Дейностите по процеса на прекратяване се фокусират върху бързо отнемане на достъп, възстановяване на корпоративни активи и сигурно закриване на цифрови идентичности, за да се контролира рискът от неоторизиран достъп или излагане на данни. Ролите и отговорностите са определени така, че да съответстват на типични структури на МСП. Главният изпълнителен директор осъществява надзор върху програмата и одобрява достъп с високи привилегии; офис мениджърът или Човешки ресурси (ЧР) инициира въвеждане/извеждане и поддържа контролни списъци; а ИТ (вътрешен екип или външен доставчик) управлява акаунти и хардуер. Ръководителите на отдели гарантират, че уведомленията за промени в ролите се изпълняват, а всеки служител или изпълнител е длъжен да спазва изискванията за обучение по сигурност и процесите за връщане на активи. Изискванията за управление са надеждни и включват използване на контролни списъци за въвеждане и процес на прекратяване, поддържане на регистър на активите и незабавно обработване на спешни деактивации. Процедурите за обработване на изключения и риск са ясно дефинирани и изискват документация, уведомяване на главния изпълнителен директор и компенсиращи контролни мерки, ако стандартни стъпки бъдат пропуснати поради оперативна спешност. Съответствието се прилага чрез редовен мониторинг, прегледи на извадки и ясни последствия при неспазване, като целенасочено повторно обучение или ескалация. Чрез изрично изискване за ежегодни прегледи, своевременни актуализации при промени в процесите или регулаторните изисквания и комуникиране на промени в политиките към целия релевантен персонал, тази политика подпомага процес на постоянно подобряване. Тя е структурирана да помогне на МСП ефективно да изпълнят изискванията за съответствие, оперативна цялостност и защита на данните, дори в организации без сложни структури за сигурност.