il questionario chiede come revochiamo l'accesso quando un dipendente se ne va

Il deprovisioning fa parte della politica di accesso, non del processo HR

La lista di controllo vuole sapere qui se la revoca dell'accesso al momento della cessazione del rapporto di lavoro è un processo fisso e documentato — nessuna azione ad hoc che dipende dal fatto che il responsabile lo comunichi all'IT. Concretamente, di solito si verifica: l'accesso viene revocato nell'ultimo giorno di lavoro (o prima), accade per tutti i sistemi inclusi gli account condivisi e le applicazioni cloud, e c'è una checklist o un trigger automatizzato che lo garantisce. Questo rientra in la politica di accesso e la gestione dei beni aziendali, e molti clienti lo chiedono specificamente come parte separata di quella domanda, non come domanda autonoma.

Se non esiste un processo formale, ma l'accesso viene comunque sempre revocato nella pratica, una risposta "no" con una spiegazione è più onesta di un "sì" senza documento di prova. La prova che di solito è sufficiente qui: una descrizione del processo o una checklist dal sistema di gestione dell'identità e degli accessi, un export dello stato degli account dopo la cessazione del rapporto, o un riferimento al processo di offboarding HR in cui è incluso il passaggio IT. Se manca questa prova, la risposta per ora è "no" — non è una bocciatura della lista di controllo, è una lacuna che emerge e che puoi colmare indipendentemente da questa lista. Vedi anche se l'autenticazione a più fattori svolge un ruolo nella risposta: alcuni clienti chiedono specificamente se i token MFA e le chiavi hardware vengono anche confiscati, il che richiede un documento di prova diverso rispetto alla sola revoca di un account; cercate qui autenticazione a più fattori per i sistemi aziendali.

Dove questo rientra nelle dieci misure

La politica di accesso, inclusa la revoca dell'accesso al momento della cessazione del rapporto di lavoro, rientra nelle misure di controllo degli accessi e protezione del personale menzionate nell'articolo 21, paragrafo 2 della direttiva NIS2 (Direttiva (UE) 2022/2555). Chi lavora con ISO/IEC 27001 riconosce questo come una misura di controllo dell'Allegato A sulla gestione degli accessi e la fine di un rapporto di lavoro; un revisore di solito chiederà in modo specifico il documento di prova dell'ultima cessazione, non solo la politica sulla carta.