el cliente pregunta cómo revocamos el acceso de empleados que se van

Revocación de acceso tras la finalización de la relación laboral

Esta pregunta evalúa si el proceso de offboarding es hermético: ¿se cierra realmente el acceso del empleado que se ha ido, y ocurre lo suficientemente rápido? El cliente no quiere una descripción del procedimiento en papel, sino prueba de que funciona — que no queden cuentas "colgadas" después de la partida. Esto se enmarca en la política de acceso y la gestión de activosespecíficamente la sección que trata sobre la revocación de derechos de acceso.

La prueba concreta de esto es una lista de verificación u procedimiento de offboarding que especifique qué sistemas se cierran: correo electrónico, VPN, unidades compartidas, aplicaciones SaaS, acceso al edificio y cualquier clave API o inicio de sesión de servicio que estuviera a nombre de ese empleado. Una prueba más sólida es un registro o resumen de tickets que demuestre que esto ocurre también dentro de un plazo establecido, por ejemplo el mismo día o dentro de 24 horas. Si hay revisiones de cuentas periódicas — una verificación trimestral que identifique cuentas huérfanas — eso es una buena adición, y esa revisión también se incluye en las pruebas periódicas de las medidas de seguridadSi falta un procedimiento formal, entonces "no" es la respuesta honesta; una promesa de que "normalmente ocurre" no es una respuesta fundamentada.

Dónde corresponde esto: artículo 21 apartado 2 y Anexo A

El control de acceso aparece por nombre en el artículo 21, apartado 2, de la Directiva NIS2 como una de las diez medidas obligatorias, y esa es exactamente la categoría en la que se encuadra esta pregunta — no nombrada por separado como "offboarding", sino como parte del control de acceso en sentido amplio. En ISO/IEC 27001 esto reaparece de forma más específica en las medidas de control del Anexo A, donde la revocación de derechos de acceso al término de la relación laboral es un control independiente, separado de la concesión de acceso general. Para las entidades que quedarán cubiertas por la Ley de Ciberseguridad cuando entre en vigor, se aplica la misma clasificación que en la Directiva.