BALTUM BUREAU
Управление доступом по ISO 27001: как выстроить процесс Joiner-Mover-Leaver в распределённой команде
Сотрудник сменил проект, но сохранил доступ к базе клиентов. Подрядчик завершил работу, а его учётная запись осталась активной. В распределённой команде такие ситуации легко пропустить: HR, руководитель и IT видят разные части процесса. В BALTUM BUREAU мы рекомендуем компаниям Узбекистана связать кадровые события с управлением правами через единый Joiner Mover Leaver процесс.
Что связывает JML и ISO 27001
Joiner — приход сотрудника, Mover — изменение его роли, Leaver — завершение сотрудничества. Каждый этап должен запускать понятную последовательность действий: кто согласует доступ, кто меняет настройки и кто проверяет результат.
ISO/IEC 27001 рассматривает защиту информации как часть системы управления организацией. Управление доступом ISO 27001 помогает выстроить вокруг бизнес-задач и рисков: сотрудник получает права, необходимые для работы, а основания для их сохранения регулярно проверяются.
JML — практический способ организовать эту работу. Конкретные инструменты и сроки компания определяет с учётом своих систем и рисков.
Joiner: выдавайте доступ по роли
Начинать следует с подтверждённой заявки. В ней фиксируют сотрудника, руководителя, дату начала работы, необходимые системы и срок доступа. Для подрядчика сразу указывают дату завершения сотрудничества.
Удобная основа — матрица ролей: бухгалтеру, разработчику и менеджеру продаж нужны разные наборы прав. Копировать доступы коллеги опасно: вместе с полезными разрешениями новичок может получить накопленные исключения.
Перед началом работы создают персональную учётную запись, настраивают многофакторную аутентификацию и объясняют правила использования корпоративных ресурсов. Административные права согласуют отдельно. Временный доступ должен иметь срок действия и владельца, который подтвердит необходимость продления.
Joiner — приход сотрудника, Mover — изменение его роли, Leaver — завершение сотрудничества. Каждый этап должен запускать понятную последовательность действий: кто согласует доступ, кто меняет настройки и кто проверяет результат.
ISO/IEC 27001 рассматривает защиту информации как часть системы управления организацией. Управление доступом ISO 27001 помогает выстроить вокруг бизнес-задач и рисков: сотрудник получает права, необходимые для работы, а основания для их сохранения регулярно проверяются.
JML — практический способ организовать эту работу. Конкретные инструменты и сроки компания определяет с учётом своих систем и рисков.
Joiner: выдавайте доступ по роли
Начинать следует с подтверждённой заявки. В ней фиксируют сотрудника, руководителя, дату начала работы, необходимые системы и срок доступа. Для подрядчика сразу указывают дату завершения сотрудничества.
Удобная основа — матрица ролей: бухгалтеру, разработчику и менеджеру продаж нужны разные наборы прав. Копировать доступы коллеги опасно: вместе с полезными разрешениями новичок может получить накопленные исключения.
Перед началом работы создают персональную учётную запись, настраивают многофакторную аутентификацию и объясняют правила использования корпоративных ресурсов. Административные права согласуют отдельно. Временный доступ должен иметь срок действия и владельца, который подтвердит необходимость продления.
Mover: пересматривайте прежние права
Перевод между отделами часто выглядит как простое добавление новых разрешений. Так сотрудник постепенно получает доступ сразу к нескольким функциям, хотя выполняет только одну.
При смене роли руководитель подтверждает новые задачи, а владельцы систем проверяют, какие прежние права нужно убрать. Если для передачи дел требуется переходный период, его оформляют как исключение с конкретной датой окончания.
Например, менеджер перешёл из продаж в финансовый отдел. Ему открыли финансовую систему, но одновременно следует пересмотреть возможность выгружать клиентскую базу и менять коммерческие условия. Для платёжного бизнеса этот вопрос особенно чувствителен — подробнее в статье об ISO 27001 для платёжных организаций Узбекистана.
Leaver: проверяйте фактическое отключение
Заявка на увольнение ещё не подтверждает, что доступ закрыт. В распределённой команде заранее согласуют точное время отключения и часовой пояс, а также назначают исполнителя и его заместителя.
Завершение сотрудничества должно охватывать весь рабочий контур. В контрольный перечень включают:
Перевод между отделами часто выглядит как простое добавление новых разрешений. Так сотрудник постепенно получает доступ сразу к нескольким функциям, хотя выполняет только одну.
При смене роли руководитель подтверждает новые задачи, а владельцы систем проверяют, какие прежние права нужно убрать. Если для передачи дел требуется переходный период, его оформляют как исключение с конкретной датой окончания.
Например, менеджер перешёл из продаж в финансовый отдел. Ему открыли финансовую систему, но одновременно следует пересмотреть возможность выгружать клиентскую базу и менять коммерческие условия. Для платёжного бизнеса этот вопрос особенно чувствителен — подробнее в статье об ISO 27001 для платёжных организаций Узбекистана.
Leaver: проверяйте фактическое отключение
Заявка на увольнение ещё не подтверждает, что доступ закрыт. В распределённой команде заранее согласуют точное время отключения и часовой пояс, а также назначают исполнителя и его заместителя.
Завершение сотрудничества должно охватывать весь рабочий контур. В контрольный перечень включают:
- блокировку корпоративной учётной записи и удалённого доступа;
- отзыв активных сессий, персональных токенов и ключей;
- отключение локальных аккаунтов в отдельных сервисах;
- передачу рабочих файлов и ответственности за ресурсы;
- смену общих секретов, известных сотруднику, где это необходимо.
It is necessary to choose a visual aid that is appropriate for the topic and audience.
Как сделать процесс управляемым
Контроль учетных записей сотрудников требует общего источника кадровых событий. HR сообщает об изменении, руководитель подтверждает потребность, владелец системы согласует права, IT выполняет действия. Ответственный за безопасность контролирует исключения и просрочки.
Автоматизация ускоряет операции, но её результат нужно проверять. Полезно отслеживать время отключения после увольнения, число просроченных временных доступов и аккаунтов без владельца. Периодические сверки помогают находить сервисы, которые выпали из общего процесса.
В BALTUM BUREAU мы помогаем связать правила доступа с реальной работой команды. Оставьте заявку на консультацию, чтобы определить пробелы в JML и подготовить план улучшений с понятными ответственными и сроками.
Контроль учетных записей сотрудников требует общего источника кадровых событий. HR сообщает об изменении, руководитель подтверждает потребность, владелец системы согласует права, IT выполняет действия. Ответственный за безопасность контролирует исключения и просрочки.
Автоматизация ускоряет операции, но её результат нужно проверять. Полезно отслеживать время отключения после увольнения, число просроченных временных доступов и аккаунтов без владельца. Периодические сверки помогают находить сервисы, которые выпали из общего процесса.
В BALTUM BUREAU мы помогаем связать правила доступа с реальной работой команды. Оставьте заявку на консультацию, чтобы определить пробелы в JML и подготовить план улучшений с понятными ответственными и сроками.
О КОМПАНИИ
Балтум Бюро специализируется на предоставлении решений по сертификации и обучению по стандартам ISO. С основными офисами в Великобритании, Эстонии и США. Наш спектр услуг включает оценку систем менеджмента, услуги по кибербезопасности и различные отраслевые сертификации (например, медицинские, образовательные, пищевые).
Балтум Бюро специализируется на предоставлении решений по сертификации и обучению по стандартам ISO. С основными офисами в Великобритании, Эстонии и США. Наш спектр услуг включает оценку систем менеджмента, услуги по кибербезопасности и различные отраслевые сертификации (например, медицинские, образовательные, пищевые).
СЕРТИФИКАЦИЯ
Компания Балтум Бюро предоставляет сертификацию по следующим стандартам:
ISO 9001, ISO 14001,
ISO 50001, ISO 45001,
ISO 22301, ISO 37001,
IATF 16949, ISO 41001,
ISO/IEC 27701, GDPR,
ISO/IEC 20000-1, ISO 17100, HIPAA, PCI DSS, SOC 2,
ISO 22301:2019,
ISO/TR 23244:2020,
ISO/TR 23576:2020, ISO 37301, ISO 18788, ISO/IEC 27035, ISO/IEC 27033, ISO 31000,
ISO 42001.
Компания Балтум Бюро предоставляет сертификацию по следующим стандартам:
ISO 9001, ISO 14001,
ISO 50001, ISO 45001,
ISO 22301, ISO 37001,
IATF 16949, ISO 41001,
ISO/IEC 27701, GDPR,
ISO/IEC 20000-1, ISO 17100, HIPAA, PCI DSS, SOC 2,
ISO 22301:2019,
ISO/TR 23244:2020,
ISO/TR 23576:2020, ISO 37301, ISO 18788, ISO/IEC 27035, ISO/IEC 27033, ISO 31000,
ISO 42001.
ОБУЧЕНИЕ
Аудиторы компании проводят корпоративные тренинги с выездом на место, а также онлайн.
Аудиторы компании проводят корпоративные тренинги с выездом на место, а также онлайн.
КОНТАКТЫ
Основной офис: 7 Bell Yard, London, England, WC2A 2JR, United Kingdom
E-mail: info@baltumburoo.com
Представительство в Узбекистане:
100128, Ташкент, ул. Лабзак, 64А
Telegram / WhatsApp:
+998 91 017 39 76
E-mail: info@bcert.org
Представительство в Казахстане: 020000, Астана, ул. Анет Баба 9/1Б
E-mail: info@iso27001.kz
Телефон: +7 776 300 0222
Дополнительный офис:
Таджикистан, Молдова, Киргизия, Грузия, Армения
E-mail: info@iso27001.kz