Polityka zatrudniania i zakończenia współpracy - SME

Polityka zatrudniania i zakończenia współpracy (P07S) stanowi kluczowy środek kontrolny dla organizacji, które chcą zarządzać pełnym cyklem życia dostępu użytkowników w sposób bezpieczny, zgodny i audytowalny. Polityka jest dostosowana do małych i średnich przedsiębiorstw (MŚP), co odzwierciedla litera „S” w numerze dokumentu oraz przypisanie odpowiedzialności rolom takim jak dyrektor generalny i Office Manager/HR, zamiast zespołom specjalistycznym, takim jak dedykowany Dyrektor ds. bezpieczeństwa informacji (CISO) czy centrum operacji bezpieczeństwa (SOC). Jednocześnie spełnia wymagania kluczowych ram, w tym ISO/IEC 27001:2022. Celem polityki jest zdefiniowanie, ustandaryzowanie i udokumentowanie procesów wdrażania nowych pracowników, wykonawców oraz dostawców usług stron trzecich, przy jednoczesnym zapewnieniu solidnych zabezpieczeń dla zakończenia współpracy lub wewnętrznej zmiany roli. Egzekwuje zasadę najmniejszych uprawnień podczas nadawania dostępu, wykorzystuje listy kontrolne do sformalizowania weryfikacji wydania i zwrotu aktywów oraz wymaga prowadzenia udokumentowanych rejestrów zmian kont i aktywów. Działania związane z zakończeniem współpracy koncentrują się na szybkim cofnięciu uprawnień dostępu, odzyskiwaniu aktywów organizacji oraz bezpiecznym zamknięciu tożsamości cyfrowych, aby kontrolować ryzyko nieuprawnionego dostępu lub ekspozycji danych. Role i odpowiedzialności są wyznaczone tak, aby pasowały do typowych struktur MŚP. Dyrektor generalny sprawuje nadzór nad programem i zatwierdza dostęp o wysokich uprawnieniach, Office Manager lub zasoby ludzkie (HR) inicjuje wdrażanie/offboarding i utrzymuje listy kontrolne, a IT (wewnętrzny lub zewnętrzny dostawca) zarządza kontami i sprzętem. Kierownicy działów zapewniają, że powiadomienia o zmianach ról są realizowane, a każdy pracownik lub wykonawca ma obowiązek przestrzegania szkoleń z zakresu bezpieczeństwa oraz procesów zwrotu aktywów. Wymagania dotyczące zarządzania są rozbudowane i obejmują stosowanie list kontrolnych przyjęcia i zakończenia zatrudnienia, utrzymanie rejestru kontroli dostępu oraz wykazu aktywów, a także natychmiastową obsługę awaryjnych dezaktywacji. Procedury obsługi wyjątków i ryzyka są jasno zdefiniowane, wymagając dokumentacji, powiadomienia dyrektora generalnego oraz kontroli kompensacyjnych, jeśli standardowe kroki zostaną pominięte z powodu pilnej potrzeby operacyjnej. Zgodność jest egzekwowana poprzez regularne monitorowanie, przeglądy próbek oraz jasne konsekwencje niezgodności, takie jak ukierunkowane ponowne szkolenie lub eskalacja. Poprzez wyraźne wymaganie corocznych przeglądów, reaktywnych aktualizacji w przypadku zmian procesowych lub regulacyjnych oraz komunikowania zmian polityki wszystkim właściwym pracownikom, polityka wspiera ciągłe doskonalenie. Jest ustrukturyzowana tak, aby pomóc MŚP efektywnie spełniać wymagania zgodności, integralności operacyjnej i ochrony danych, nawet w organizacjach bez złożonych struktur bezpieczeństwa.