Πολιτική Ένταξης και Αποχώρησης

Η Πολιτική Ένταξης και Αποχώρησης (έγγραφο P07) παρέχει ένα ολοκληρωμένο, τυποποιημένο πλαίσιο για τη διαχείριση του πλήρους κύκλου ζωής της πρόσβασης προσωπικού, από τη διαδικασία ένταξης και τις εσωτερικές μεταφορές έως τη διαδικασία τερματισμού ή τη λήξη σύμβασης. Σχεδιασμένη για όλους τους τύπους χρηστών, συμπεριλαμβανομένων εργαζομένων, αναδόχων, συμβούλων, προμηθευτών τρίτων μερών και τρίτων, επιβάλλει έγκαιρη και ασφαλή χορήγηση πρόσβασης και κατάργηση παροχής τόσο της φυσικής πρόσβασης όσο και της λογικής πρόσβασης, διασφαλίζοντας ότι κάθε μετάβαση αντιμετωπίζεται με τον κατάλληλο συνδυασμό εμπιστευτικότητας, αρμοδιότητας και λογοδοσίας και ελέγχου περιουσιακών στοιχείων. Η παρούσα πολιτική εφαρμόζεται σε όλο τον οργανισμό, επιβάλλοντας ότι όλα τα τμήματα, το Ανθρώπινο Δυναμικό (HR), οι Λειτουργίες Πληροφορικής, η Διαχείριση Εγκαταστάσεων και Περιουσιακών Στοιχείων, η Ομάδα Ασφάλειας Πληροφοριών, η Ανώτατη Διοίκηση, η Νομική και Συμμόρφωση και οι Ομάδες Συμμόρφωσης, διαδραματίζουν καθορισμένο ρόλο στις διαδικασίες ένταξης και αποχώρησης. Προδιαγράφει λεπτομερείς ροές εργασιών: η διαδικασία ένταξης περιλαμβάνει ελέγχους ιστορικού, Συμφωνία Εμπιστευτικότητας (NDA) και βεβαίωση αποδοχής πολιτικής, εκπαίδευση ευαισθητοποίησης σε θέματα ασφάλειας και ανάθεση πρόσβασης σύμφωνα με την αρχή των ελαχίστων προνομίων, η οποία αναθεωρείται από τους αρμόδιους προϊσταμένους· για τις εσωτερικές μεταφορές, ενεργοποιεί ανασκόπηση πρόσβασης βάσει κινδύνου και διασφαλίζει ότι όλα τα προηγούμενα δικαιώματα συστημάτων κλείνουν πριν εγκριθεί νέα πρόσβαση· και η διαδικασία τερματισμού απαιτεί να ανακληθεί κάθε χορήγηση πρόσβασης (χρήστες υψηλών προνομίων εντός τεσσάρων ωρών), να συλλεχθούν τα περιουσιακά στοιχεία, να επαναβεβαιωθούν οι πολιτικές και να διατηρηθεί όλη η σχετική τεκμηρίωση για ελεγξιμότητα. Οι στόχοι της πολιτικής υπερβαίνουν τη διαχείριση πρόσβασης χρηστών. Στοχεύει στη διατήρηση της εμπιστευτικότητας, ακεραιότητας και διαθεσιμότητας των περιουσιακών στοιχείων του οργανισμού κατά τις μεταβάσεις προσωπικού, υποστηρίζοντας ίχνος ελέγχου και νομική υπεράσπιση μέσω απαίτησης για πλήρη τεκμηρίωση σε Πληροφοριακό Σύστημα Ανθρώπινου Δυναμικού (HRIS), διαχείριση ταυτοτήτων και πρόσβασης (IAM) και Μητρώο Περιουσιακών Στοιχείων. Καθορίζονται διαδικασίες ανάκτησης και επικύρωσης περιουσιακών στοιχείων, συμπεριλαμβανομένων ελέγχων Πληροφορικής για την αφαίρεση υπολειπόμενων ευαίσθητων δεδομένων και ελέγχων εγκαταστάσεων για κάρτες πρόσβασης κτιρίου, συσκευές και κλειδιά. Η διαχείριση εξαιρέσεων ελέγχεται αυστηρά: οποιεσδήποτε αποκλίσεις πρέπει να υποβάλλονται σε εκτίμηση κινδύνου, να τεκμηριώνονται και να υπόκεινται σε περιοδικές επανεξετάσεις πρόσβασης από ανώτερους προϊσταμένους (Επικεφαλής Ασφάλειας Πληροφοριών (CISO) ή Διευθυντή Ανθρώπινου Δυναμικού), με τον υπολειπόμενο κίνδυνο να τεκμηριώνεται και να γίνεται αξιολόγηση υπολειπόμενου κινδύνου κάθε 90 ημέρες ή όταν αλλάζουν οι συνθήκες. Ευθυγραμμισμένη με πολλαπλά διεθνή πλαίσια, συμπεριλαμβανομένων των ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, COBIT 2019, EU GDPR, NIS2 και DORA, η πολιτική διασφαλίζει ότι οι πρακτικές του οργανισμού καλύπτουν όλες τις βασικές ρυθμιστικές υποχρεώσεις. Ενσωματώνει διατάξεις από αυτά τα πρότυπα που καλύπτουν επάρκεια, έλεγχο πρόσβασης, αρχή των ελαχίστων προνομίων, έλεγχο ιστορικού, καταγραφή ελέγχου και επιχειρησιακή διακυβέρνηση. Οι απαιτήσεις εσωτερικού ελέγχου και παρακολούθησης διαδικασιών είναι ενσωματωμένες, με εποπτεία από τον Υπεύθυνο ISMS και μηχανισμό καταγγελιών. Οι παραβιάσεις ενεργοποιούν πειθαρχικές και νομικές συνέπειες, με κλιμάκωση προς ρυθμιστικές αρχές όπου εμπλέκονται παραβίαση δεδομένων ή ρυθμιζόμενα δεδομένα. Η συντήρηση της πολιτικής είναι εξίσου ισχυρή: επιβάλλει ετήσιες ανασκοπήσεις, επικαιροποιήσεις μετά από σημαντικές αλλαγές ασφάλειας ή συστημάτων Ανθρώπινου Δυναμικού, ενημερώσεις που προκύπτουν από περιστατικά και αρχειοθέτηση παρωχημένων εκδόσεων. Οι διαδικασίες ελέγχου εγγράφων διατηρούν ιστορικό αλλαγών και αρχεία ιδιοκτησίας. Αυτό συνδέει τη λειτουργική Διαχείριση Κινδύνων Ασφάλειας Πληροφοριών με τη συμμόρφωση και τη λογοδοσία, αποτελώντας κρίσιμο μέρος του ολοκληρωμένου περιβάλλοντος ελέγχων του οργανισμού μέσω άμεσων συνδέσεων με σχετικά έγγραφα πολιτικής (ασφάλεια, έλεγχος πρόσβασης, λογαριασμοί χρηστών, διαχείριση κινδύνων, Πολιτική Αποδεκτής Χρήσης).