il cliente chiede come revochiamo l'accesso ai dipendenti che se ne vanno

Revoca dell'accesso dopo la cessazione del rapporto di lavoro

Questa domanda verifica se il processo di offboarding è solido: l'accesso di un dipendente che se n'è andato viene davvero chiuso e avviene abbastanza rapidamente. Il cliente non vuole una descrizione della procedura su carta, ma prove che funzioni effettivamente — che nessun account rimanga "sospeso" dopo la partenza. Questo rientra in la politica di accesso e la gestione dei beni aziendali, in particolare la sezione che riguarda la revoca dei diritti di accesso.

Le prove concrete sono una checklist o una procedura di offboarding che documenti QUALI sistemi vengono disattivati: e-mail, VPN, unità condivise, applicazioni SaaS, accesso agli edifici e eventuali chiavi API o login di servizio intestati a quel dipendente. Una prova ancora più forte è un log o una panoramica dei ticket che mostri che ciò avviene anche entro un termine stabilito, ad esempio lo stesso giorno o entro 24 ore. Se esistono revisioni periodiche degli account — un controllo trimestrale che individua account orfani — è un buon complemento, e tale controllo deve rientrare anche in il test periodico delle misure di sicurezza. Se manca una procedura formale, "no" è la risposta onesta; una promessa che "di solito accade" non è una risposta fondata.

Dove rientra questo: articolo 21 paragrafo 2 e Allegato A

La gestione degli accessi è citata per nome nell'articolo 21, paragrafo 2 della direttiva NIS2 come una delle dieci misure obbligatorie, ed è esattamente la categoria in cui rientra questa domanda — non denominata separatamente come "offboarding", ma come parte del controllo degli accessi in senso lato. In ISO/IEC 27001 questo appare più specificamente nelle misure di controllo dell'Allegato A, dove la revoca dei diritti di accesso in caso di fine del rapporto di lavoro è un controllo autonomo, distinto dalla concessione generale dell'accesso. Per le entità che ricadranno sotto la Legge sulla cibersicurezza una volta entrata in vigore, vale la stessa classificazione della direttiva.