Įdarbinimo ir atleidimo iš darbo politika – SVV

Įdarbinimo ir atleidimo iš darbo politika (P07S) yra kritinė kontrolės priemonė organizacijoms, siekiančioms saugiai, atitikties reikalavimus atitinkančiai ir audituojamai valdyti visą naudotojo prieigos gyvavimo ciklą. Ši politika yra specialiai pritaikyta smulkiosioms ir vidutinėms įmonėms (SVV), ką rodo „S“ dokumento numeryje ir atsakomybės priskyrimas tokiems vaidmenims kaip generalinis vadovas ir biuro vadovas / žmogiškieji ištekliai, o ne specializuotoms komandoms, pavyzdžiui, dedikuotam vyriausiajam informacijos saugumo pareigūnui (CISO) ar saugumo operacijų centrui (SOC). Vis dėlto ji atitinka pagrindinių sistemų, įskaitant ISO/IEC 27001:2022, reikalavimus. Politikos tikslas – apibrėžti, standartizuoti ir dokumentuoti procesus, skirtus naujų darbuotojų, rangovų ir trečiųjų šalių paslaugų teikėjų įvedimui į darbą, kartu užtikrinant patikimas kontrolės priemones jų darbo santykių nutraukimo procesui arba pareigų perkėlimui organizacijos viduje. Ji įtvirtina mažiausių privilegijų principą suteikiant prieigos teises, naudoja kontrolinius sąrašus turto išdavimo ir grąžinimo patikrai formalizuoti ir numato dokumentuotus žurnalus paskyrų ir turto pakeitimams. Nutraukimo veiklos orientuotos į neatidėliotiną prieigos atšaukimą, organizacijos turto susigrąžinimą ir saugų skaitmeninių tapatybių uždarymą, siekiant valdyti nesankcionuotos prieigos ar duomenų ekspozicijos riziką. Vaidmenys ir atsakomybės pritaikyti tipinėms SVV struktūroms. Generalinis vadovas vykdo programos priežiūrą ir patvirtina aukštų privilegijų naudotojų prieigą, biuro vadovas arba žmogiškieji ištekliai inicijuoja įvedimą į darbą / darbo santykių nutraukimo procesą ir prižiūri kontrolinius sąrašus, o IT (vidinis arba išorinis paslaugų teikėjas) valdo paskyras ir aparatinę įrangą. Padalinių vadovai užtikrina, kad pranešimai apie vaidmenų pakeitimus būtų įgyvendinti, o kiekvienas darbuotojas ar rangovas privalo laikytis saugumo mokymų ir turto grąžinimo procesų. Valdysenos reikalavimai yra tvirti: privaloma naudoti įdarbinimo ir atleidimo kontrolinius sąrašus, prižiūrėti prieigos kontrolės registrą ir turto inventorių, taip pat nedelsiant tvarkyti skubius deaktyvavimus. Išimčių ir rizikos tvarkymo procedūros aiškiai apibrėžtos: reikalaujama dokumentuoti, informuoti generalinį vadovą ir taikyti kompensacines kontrolės priemones, jei standartiniai veiksmai praleidžiami dėl operacinio skubumo. Atitiktis užtikrinama reguliaria stebėsena, imčių peržiūromis ir aiškiomis pasekmėmis už nesilaikymą, pavyzdžiui, tiksliniu permokymu arba eskalavimu. Aiškiai numatant kasmetines peržiūras, operatyvius atnaujinimus dėl procesų ar reglamentavimo pokyčių ir politikos pakeitimų komunikavimą visam aktualiam personalui, ši politika palaiko nuolatinio tobulinimo procesą. Ji sukurta taip, kad padėtų SVV efektyviai įgyvendinti atitikties, veiklos vientisumo ir duomenų apsaugos reikalavimus net ir organizacijose be sudėtingų saugumo struktūrų.