Perehdytys- ja työsuhteen päättämispolitiikka

Perehdytys- ja työsuhteen päättämispolitiikka (asiakirja P07) tarjoaa kattavan, standardoidun viitekehyksen henkilöstön käyttöoikeuksien koko elinkaaren hallintaan perehdytyksestä ja sisäisistä siirroista työsuhteen päättämiseen tai sopimuksen päättymiseen. Se on suunniteltu kaikille käyttäjätyypeille, mukaan lukien työntekijät ja urakoitsijat, konsultit, toimittajat sekä kolmannet osapuolet, ja se toimeenpanee oikea-aikaisen ja turvallisen käyttöoikeuksien provisioinnin ja käytöstäpoiston sekä fyysisen pääsyn että loogisen pääsyn osalta, varmistaen, että jokainen siirtymä käsitellään asianmukaisella luottamuksellisuudella, vastuuvelvollisuudella ja omaisuuden hallinnalla. Tämä politiikka koskee koko organisaatiota ja edellyttää, että kaikki osastot sekä henkilöstöhallinto, IT, toimitilojen ja omaisuuden hallinta, tietoturva, johto, laki- ja vaatimustenmukaisuus osallistuvat määritellyllä tavalla perehdytys- ja poistumismenettelyprosesseihin. Se määrittää yksityiskohtaiset työnkulut: perehdytys sisältää taustatarkistukset, salassapitosopimus (NDA) -vaatimuksen ja politiikan hyväksyntävaiheen, tietoturvatietoisuuskoulutuksen sekä vähimmän etuoikeuden periaatteen mukaisen käyttöoikeuksien myöntämisen, jonka vastuulliset esihenkilöt katselmoivat; sisäisissä siirroissa se käynnistää riskiperusteisen käyttöoikeuksien katselmoinnin ja varmistaa, että kaikki aiemmat järjestelmätason oikeudet suljetaan ennen uuden pääsyn hyväksyntää; ja työsuhteen päättämisprosessi edellyttää, että kaikki käyttöoikeuksien provisiointi perutaan (etuoikeutetut käyttäjät neljän tunnin kuluessa), omaisuuserät kerätään, politiikat kuittataan uudelleen ja kaikki asiaankuuluva dokumentaatio ylläpidetään auditoitavuuden varmistamiseksi. Politiikan tavoitteet ulottuvat käyttöoikeuksien hallintaa laajemmalle. Sen tarkoituksena on säilyttää organisaation omaisuuserien luottamuksellisuus, eheys ja saatavuus henkilöstösiirtymien aikana sekä tukea tarkastusjälkeä ja oikeudellista puolustusta edellyttämällä perusteellista dokumentointia henkilöstötietojärjestelmässä (HRIS), identiteetin- ja pääsynhallinta (IAM) -järjestelmissä sekä omaisuusrekisteritiedoissa. Välittömät omaisuuden palautus- ja validointimenettelyt on määritelty, mukaan lukien IT-tarkastukset jäännösluonteisten arkaluonteisten tietojen poistamiseksi sekä toimitilakontrollit kulkutunnisteille, laitteille ja avaimille. Poikkeusten käsittely on tiukasti hallittua: kaikki poikkeamat on arvioitava riskien arviointimenettelyllä, dokumentoitava ja asetettava säännöllisten katselmointien piiriin ylemmän johdon toimesta (tietoturvajohtaja (CISO) tai HR-johtaja), ja jäännösriski on dokumentoitava ja jäännösriskin arviointi on tehtävä 90 päivän välein tai tilanteiden muuttuessa. Useiden kansainvälisten viitekehysten kanssa yhdenmukaistettuna, mukaan lukien ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, COBIT 2019, EU GDPR, NIS2 ja DORA, politiikka varmistaa, että organisaation käytännöt täyttävät keskeiset sääntelyvelvoitteet. Se integroi näiden standardien vaatimuksia, jotka koskevat pätevyyttä, pääsynhallintaa, vähimmän etuoikeuden periaatetta, taustatarkistuksia, lokitusta ja operatiivista hallintotapaa. Sisäinen tarkastus ja prosessiseurannan vaatimukset on sisäänrakennettu ISMS-päällikön valvonnalla sekä väärinkäytösten ilmoitusmekanismikanavilla. Rikkomukset käynnistävät kurinpitotoimenpiteet ja oikeudelliset seuraamukset sekä eskaloinnin viranomaisille, kun kyseessä ovat henkilötiedot tai sääntelyn alaiset tiedot. Politiikan ylläpito on yhtä vahvaa: se edellyttää vuosittaisia katselmointeja, päivityksiä merkittävien tietoturva- tai HR-järjestelmämuutosten jälkeen, poikkeamien ohjaamia päivityksiä sekä vanhentuneiden versioiden arkistointia. Asiakirjahallinnan menettelyt säilyttävät muutoshistorian ja omistajuustallenteet. Tämä yhdistää operatiivisen riskienhallinnan vaatimustenmukaisuuteen ja vastuuvelvollisuuteen ja muodostaa kriittisen osan organisaation integroitua kontrolliympäristöä suorilla linkityksillä siihen liittyviin politiikka-asiakirjoihin (tietoturva, pääsynhallinta, käyttäjätilit, riskienhallinta, hyväksyttävä käyttö).