Beléptetési és kiléptetési szabályzat

A beléptetési és kiléptetési szabályzat (P07 dokumentum) átfogó, szabványosított keretrendszert biztosít a személyi hozzáférés teljes életciklusának kezeléséhez, a beléptetéstől és a belső áthelyezésektől a kiléptetésig vagy a szerződés lejártáig. Valamennyi felhasználótípusra készült, beleértve a munkavállalókat, vállalkozókat, tanácsadókat, beszállítókat és harmadik feleket, és kikényszeríti a fizikai hozzáférés és a logikai hozzáférés időben történő, biztonságos hozzáférés-kiosztását és jogosultságmegszüntetését, biztosítva, hogy minden átmenet a bizalmasság, az elszámoltathatóság és az eszközkezelés megfelelő kombinációjával történjen. A szabályzat szervezetszinten alkalmazandó, és előírja, hogy minden szervezeti egység, az emberi erőforrások, az IT, a létesítmény- és eszközgazdálkodás, a biztonság, a felső vezetés, a jogi és megfelelőség, valamint a megfelelés meghatározott szerepet töltsön be a beléptetés és kiléptetés folyamataiban. Részletes munkafolyamatokat ír elő: a beléptetés magában foglalja a háttérellenőrzéseket, a titoktartási megállapodást és a szabályzat tudomásulvételét, a biztonságtudatossági képzést, valamint a legkisebb jogosultság elve szerinti hozzáférés-hozzárendelést, amelyet a felelős vezetők felülvizsgálnak; belső áthelyezések esetén kockázatalapú hozzáférés-felülvizsgálatokat indít, és biztosítja, hogy minden korábbi rendszerjogosultság lezárásra kerüljön, mielőtt az új hozzáférés jóváhagyásra kerül; a kiléptetési folyamat pedig megköveteli, hogy minden hozzáférés-kiosztás visszavonásra kerüljön (kiemelt jogosultságú felhasználók esetén négy órán belül), az eszközök begyűjtésre kerüljenek, a szabályzatok újra tudomásulvételre kerüljenek, és minden kapcsolódó dokumentáció auditálhatóság céljából megőrzésre kerüljön. A szabályzat célkitűzései túlmutatnak a hozzáférés-kezelésen. Célja a szervezeti eszközök bizalmasságának, sértetlenségének és rendelkezésre állásának megőrzése személyi átmenetek során, támogatva az ellenőrzési nyomvonalakat és a jogi védelem biztosítását azáltal, hogy alapos dokumentálást ír elő a humánerőforrás-információs rendszerben, az identitás- és hozzáférés-kezelés (IAM) rendszerekben és az eszköznyilvántartásokban. Azonnali eszközvisszaszerzési és validálási eljárásokat határoz meg, beleértve az IT-ellenőrzéseket a maradék érzékeny adatok eltávolítására, valamint a belépőkártyákra, eszközökre és kulcsokra vonatkozó létesítményi kontrollokat. A kivételkezelés szigorúan kontrollált: bármely eltérésnek kockázatértékelésen kell átesnie, dokumentáltnak kell lennie, és időszakos felülvizsgálat tárgyát kell képeznie a felső vezetés részéről (CISO vagy HR-igazgató), a maradék kockázatokat pedig dokumentálni és értékelni kell 90 naponta vagy a helyzet változásakor. Több nemzetközi keretrendszerrel összhangban, beleértve az ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, COBIT 2019, EU GDPR, NIS2 és DORA előírásait, a szabályzat biztosítja, hogy a szervezeti gyakorlatok minden kulcsfontosságú szabályozási követelményt lefedjenek. Integrálja e szabványok kompetenciára, hozzáférés-ellenőrzésre, a legkisebb jogosultság elvére, átvilágításra, naplózásra és operatív irányításra vonatkozó rendelkezéseit. Beépített belső audit- és folyamati monitorozási követelményeket tartalmaz, IBIR-vezetői felügyelettel és visszaélés-bejelentési mechanizmusokkal. A szabálysértések fegyelmi és jogi következményeket váltanak ki, és személyes vagy szabályozott adatok érintettsége esetén eszkalációt a szabályozó hatóságok felé. A szabályzat karbantartása ugyancsak robusztus: éves felülvizsgálatokat ír elő, frissítéseket jelentős biztonsági vagy HR-rendszerváltozások után, incidens által kiváltott frissítéseket, valamint az elavult verziók archiválását. A dokumentumkezelési eljárások megőrzik a változástörténetet és a tulajdonosi nyilvántartásokat. Ez összekapcsolja az operatív kockázatkezelést a megfeleléssel és az elszámoltathatósággal, és a szervezet integrált kontrollkörnyezetének kritikus részét képezi a kapcsolódó szabályzatdokumentumokhoz (biztonság, hozzáférés-vezérlés, felhasználói fiókok, kockázatkezelés, elfogadható használati szabályzat) való közvetlen kapcsolódásokon keresztül.