Töölevõtu ja töösuhte lõpetamise poliitika – VKE

Töölevõtu ja töösuhte lõpetamise poliitika (P07S) on kriitiline kontrollimeede organisatsioonidele, kes soovivad hallata kasutajate juurdepääsu elutsüklit turvaliselt, nõuetele vastavalt ja auditeeritavalt. See poliitika on kohandatud väikestele ja keskmise suurusega ettevõtetele (VKE-d), mida näitab dokumendinumbri „S“ ning vastutuse määramine rollidele nagu tegevjuht ja kontorijuht/personal (HR), mitte spetsialistidele nagu pühendunud infoturbejuht või turbeoperatsioonide keskus. Sellest hoolimata täidab see peamiste raamistike, sh ISO/IEC 27001:2022, nõuded. Poliitika eesmärk on määratleda, standardiseerida ja dokumenteerida protsessid uute töötajate, töövõtjate ja kolmanda osapoole teenuseosutajate sisseelamiseks, tagades samal ajal tugevad kontrollimeetmed nende töösuhte lõpetamiseks või sisemiseks rollimuudatuseks. See jõustab vähimate õiguste põhimõtte juurdepääsuõiguste andmisel, kasutab kontrollnimekirju varade väljastamise ja tagastamise kontrolli formaliseerimiseks ning nõuab dokumenteeritud logisid konto- ja varamuudatuste kohta. Töösuhte lõpetamise tegevused keskenduvad kiirele juurdepääsuõiguste tühistamisele, ettevõtte varade tagasisaamisele ning digitaalse identiteedi turvalisele sulgemisele, et ohjata volitamata juurdepääsu või andmete avalikustamise riski. Rollid ja vastutused on määratud VKE-dele tüüpiliste struktuuride järgi. Tegevjuht teostab programmi järelevalvet ja kinnitab kõrgete õigustega kasutajate juurdepääsu, kontorijuht või personal (HR) algatab sisseelamise/lahkumisprotsessi ja haldab kontrollnimekirju ning IT (sisemine või väline teenuseosutaja) haldab kontosid ja riistvara. Osakonnajuhid tagavad, et rollimuudatuste teavitused viiakse ellu, ning iga töötaja või töövõtja peab järgima turvakoolituse ja varade tagastamise protsesse. Juhtimisnõuded on tugevad, nõudes tööleasumise ja töölt lahkumise kontrollnimekirjade kasutamist, juurdepääsukontrolli registri ja varade registri haldamist ning erakorraliste deaktiveerimiste viivitamatut käsitlemist. Erandite ja riskide käsitlemise protseduurid on selgelt määratletud, nõudes dokumenteerimist, tegevjuhi teavitamist ning kompenseerivaid kontrollimeetmeid, kui standardseid samme jäetakse operatiivse kiireloomulisuse tõttu vahele. Vastavust jõustatakse regulaarse seire, valimipõhiste ülevaatuste ja selgete tagajärgedega mittevastavuse korral, nagu sihipärane ümberõpe või eskaleerimine. Nõudes sõnaselgelt iga-aastaseid ülevaatusi, reageerivaid uuendusi protsessi- või regulatiivsete muudatuste korral ning poliitikamuudatuste teavitamist kõigile asjakohastele töötajatele, toetab see poliitika protsessi pidevat täiustamist. See on struktureeritud nii, et aidata VKE-del tõhusalt täita vastavuse, operatiivse tervikluse ja andmekaitse nõudeid ka organisatsioonides, kus puuduvad keerukad turbestruktuurid.