Darba attiecību uzsākšanas un izbeigšanas politika – MVU

Darba attiecību uzsākšanas un izbeigšanas politika (P07S) ir kritisks kontroles pasākums organizācijām, kas vēlas pārvaldīt pilnu lietotāju piekļuves dzīves ciklu drošā, atbilstošā un auditējamā veidā. Šī politika ir īpaši pielāgota mazajiem un vidējiem uzņēmumiem (MVU), ko norāda “S” dokumenta numurā un atbildības piešķiršana tādām lomām kā galvenais izpilddirektors un biroja vadītājs/personāla nodaļa, nevis specializētām komandām, piemēram, galvenais informācijas drošības vadītājs (CISO) vai drošības operāciju centrs (SOC). Vienlaikus tā atbilst galveno ietvaru prasībām, tostarp ISO/IEC 27001:2022. Politikas mērķis ir definēt, standartizēt un dokumentēt procesus jaunu darbinieku, līgumslēdzēju un trešo pušu pakalpojumu sniedzēju ievadīšanai, vienlaikus nodrošinot stingrus kontroles pasākumus izbeigšanas procesam vai iekšējām lomu izmaiņām. Tā ievieš minimālo privilēģiju principu piekļuves piešķiršanā, izmanto uzņemšanas/izbeigšanas kontrolsarakstus, lai formalizētu aktīvu izsniegšanas un atdošanas pārbaudi, un nosaka dokumentētus žurnālus kontu un aktīvu izmaiņām. Izbeigšanas darbības ir vērstas uz savlaicīgu piekļuves tiesību atsaukšanu, uzņēmuma aktīvu atgūšanu un digitālo identitāšu drošu slēgšanu, lai kontrolētu nesankcionētas piekļuves vai datu ekspozīcijas risku. Lomas un pienākumi ir noteikti atbilstoši tipiskām MVU struktūrām. Galvenais izpilddirektors nodrošina programmas uzraudzību un apstiprina augstu privilēģiju lietotājus, biroja vadītājs vai personāla nodaļa uzsāk ievadīšanu/darbinieka atiešanas procesu un uztur uzņemšanas/izbeigšanas kontrolsarakstus, bet IT (iekšējais vai ārējais pakalpojumu sniedzējs) pārvalda kontus un aparatūru. Struktūrvienību vadītāji nodrošina, ka paziņojumi par lomu izmaiņām tiek izpildīti, savukārt katram darbiniekam vai līgumslēdzējam ir pienākums ievērot drošības apmācību un aktīvu atdošanas procesus. Pārvaldības prasības ir stingras: jāizmanto uzņemšanas/izbeigšanas kontrolsaraksti, jāuztur piekļuves kontroles reģistrs un aktīvu uzskaite, kā arī nekavējoties jāapstrādā ārkārtas deaktivizācijas. Izņēmumu un riska apstrādes procedūras ir skaidri definētas, nosakot dokumentāciju, paziņošanu galvenajam izpilddirektoram un kompensējošās kontroles, ja standarta soļi tiek izlaisti operatīvas steidzamības dēļ. Atbilstība tiek nodrošināta ar regulāru uzraudzību, izlases pārskatīšanām un skaidrām sekām neatbilstības gadījumā, piemēram, mērķtiecīgu atkārtotu apmācību vai eskalāciju. Nosakot ikgadējas pārskatīšanas, operatīvas atjaunināšanas procesu vai normatīvo prasību izmaiņu gadījumā un politikas grozījumu komunikāciju visam attiecīgajam personālam, šī politika atbalsta nepārtrauktu uzlabošanu. Tā ir strukturēta, lai palīdzētu MVU efektīvi izpildīt atbilstības, operatīvās integritātes un datu aizsardzības prasības arī organizācijās bez sarežģītām drošības struktūrām.