cliente pergunta como revogamos acesso aos colaboradores que saíram

Revogação de acesso após rescisão de contrato

Esta pergunta testa se o processo de offboarding é completo: o acesso de um colaborador que saiu é realmente encerrado e isso acontece rápido o suficiente. O cliente não quer uma descrição do procedimento em papel, mas prova de que funciona — que nenhuma conta fica "ativa" após a saída. Isso se enquadra em a política de acesso e a gestão de ativosespecificamente a parte que trata do encerramento dos direitos de acesso.

A prova concreta disso é uma checklist ou procedimento de offboarding que documenta QUAIS sistemas são desativados: e-mail, VPN, unidades compartilhadas, aplicações SaaS, acesso ao edifício e qualquer chave de API ou login de serviço que estava em nome desse colaborador. Uma prova mais forte é um log ou visão geral de tickets que mostra que isso também ocorre dentro de um prazo estabelecido, por exemplo, no mesmo dia ou em até 24 horas. Se existem revisões periódicas de contas — uma verificação trimestral que identifica contas órfãs — é um bom complemento, e essa verificação também deve fazer parte de os testes periódicos de medidas de segurança. Se faltar um procedimento formal, então "não" é a resposta honesta; uma promessa de que "geralmente acontece" não é uma resposta fundamentada.

Onde isto se enquadra: artigo 21.º, n.º 2 e Anexo A

O controlo de acesso está nomeado no artigo 21.º, n.º 2 da Diretiva NIS2 como uma das dez medidas obrigatórias, e é precisamente a categoria sob a qual esta pergunta se enquadra — não nomeada separadamente como "offboarding", mas como parte do controlo de acesso num sentido lato. Na ISO/IEC 27001, isto aparece de forma mais específica nas medidas de controlo do Anexo A, onde a revogação de direitos de acesso no final da relação laboral é um controlo próprio, separado da atribuição geral de acesso. Para as entidades que ficam abrangidas pela Lei da Cibersegurança quando esta entrar em vigor, aplica-se a mesma classificação que na diretiva.