o questionário pergunta como revogamos o acesso quando um funcionário deixa o emprego

O desprovisionamento faz parte da política de acesso, não do processo de RH

A lista de questões quer saber aqui se a revogação de acesso aquando da cessação de trabalho é um processo fixo e documentado — nenhuma ação ad-hoc que dependa de o gestor o comunicar à TI. Na prática, geralmente é avaliado: o acesso é revogado no último dia de trabalho (ou antes), isto acontece para todos os sistemas incluindo contas partilhadas e aplicações cloud, e existe uma lista de verificação ou acionador automatizado que o garanta. Isto enquadra-se em a política de acesso e gestão de ativos da organização, e muitos clientes perguntam especificamente por isso como parte separada dessa pergunta, não como uma pergunta isolada.

Se não existe um processo formal, mas o acesso é praticamente sempre revogado, é "não" com uma explicação mais honesto do que um "sim" sem comprovativo. Comprovativo que aqui frequentemente é suficiente: uma descrição de processo ou lista de verificação do sistema de gestão de identidade e acesso, uma exportação de estados de conta após cessação de trabalho, ou uma referência ao processo de offboarding de RH no qual a etapa de TI está incluída. Se esse comprovativo faltar, a resposta por enquanto é "não" — isto não é uma reprovação da lista de questões, é uma lacuna que se torna visível e que pode preencher independentemente desta lista. Veja também se a autenticação multifatores tem um papel na resposta: alguns clientes perguntam especificamente se tokens MFA e chaves de hardware também são recolhidos, o que requer um comprovativo diferente do que apenas a revogação de uma conta; procure por esse efeito em autenticação multifator para sistemas empresariais.

Onde isto se enquadra nas dez medidas

A política de acesso, incluindo a revogação de acesso aquando da cessação de trabalho, enquadra-se nas medidas de controlo de acesso e proteção de pessoal mencionadas no artigo 21.º, n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555). Quem trabalha com ISO/IEC 27001 reconhece isto como uma medida de controlo do Anexo A sobre gestão de acesso e término de um contrato de trabalho; um auditor normalmente pedirá especificamente o comprovativo da última cessação de trabalho, não apenas a política no papel.