le client demande comment nous retirons l'accès aux collaborateurs qui ont quitté l'entreprise

Révocation d'accès après fin de contrat

Cette question vérifie si le processus de départ est étanche : l'accès d'un collaborateur parti est-il vraiment fermé, et cela se fait-il assez rapidement. Le client ne veut pas une description de la procédure sur papier, mais une preuve que cela fonctionne réellement — qu'aucun compte ne reste « suspendu » après le départ. Ceci relève de la politique d'accès et de la gestion des actifs, plus précisément de la section qui porte sur la cessation des droits d'accès.

Une preuve concrète en est une liste de contrôle ou une procédure de départ qui énumère quels systèmes sont fermés : e-mail, VPN, lecteurs partagés, applications SaaS, accès aux bâtiments et toutes les clés API ou identifiants de service au nom de ce collaborateur. Une preuve plus solide est un journal ou un aperçu de tickets montrant que cela s'est produit aussi dans un délai établi, par exemple le même jour ou dans les 24 heures. S'il existe des examens de compte périodiques — un contrôle trimestriel qui détecte les comptes abandonnés — c'est un bon complément, et cet examen doit aussi figurer dans l'évaluation périodique des mesures de sécurité. En l'absence de procédure formelle, « non » est la réponse honnête ; une promesse que cela « se passe généralement bien » n'est pas une réponse étayée.

Où cela s'inscrit : article 21 paragraphe 2 et Annexe A

La gestion des accès est énumérée explicitement à l'article 21, paragraphe 2, de la directive NIS2 comme l'une des dix mesures obligatoires, et c'est exactement la catégorie sous laquelle s'inscrit cette question — non désignée séparément comme « départ » mais comme partie du contrôle d'accès au sens large. Dans la norme ISO/IEC 27001, cela réapparaît de manière plus précise dans les mesures de contrôle de l'annexe A, où la révocation des droits d'accès en cas de fin de contrat est un contrôle distinct, séparé de l'attribution générale des accès. Pour les entités qui seront soumises à la loi sur la cybersécurité une fois qu'elle entrera en vigueur, la même classification s'applique que dans la directive.