el cuestionario pregunta cómo revocamos el acceso cuando un empleado se va

La deprovision es parte de la política de acceso, no del proceso de recursos humanos

La lista de verificación quiere saber aquí si la revocación de acceso en caso de cese de la relación laboral es un proceso fijo y documentado — no una acción ad hoc que dependa de si el gerente lo comunica a TI. Concretamente, generalmente se verifica: se revoca el acceso el último día de trabajo (o antes), ¿ocurre para todos los sistemas incluidas cuentas compartidas y aplicaciones en la nube, y existe una lista de verificación o un disparador automatizado que lo asegura. Esto cae bajo la política de acceso y gestión de activos empresarialesRichtlijn (EU) 2022/2555

Si no existe un proceso formal, pero el acceso se revoca en la práctica siempre de todas formas, una respuesta "no" con una aclaración es más honesta que un "sí" sin evidencia. La evidencia que generalmente es suficiente aquí es: una descripción de proceso o lista de verificación del sistema de gestión de identidades y acceso, una exportación de estados de cuenta después del cese de la relación laboral, o una referencia al proceso de offboarding de recursos humanos en el que se incluye el paso de TI. Si falta esa evidencia, la respuesta por ahora es "no" — eso no es un rechazo de la lista de verificación, es una brecha que se hace visible y que puedes cerrar independientemente de esta lista. Véase también si la autenticación multifactor juega un papel en la respuesta: algunos clientes preguntan específicamente si los tokens de MFA y las claves de hardware también se confiscan, lo que requiere una evidencia diferente que solo la revocación de una cuenta; busca eso en autenticación multifactor para sistemas empresariales.

Donde esto cae bajo las diez medidas

La política de acceso, incluida la revocación de acceso en caso de cese de la relación laboral, cae bajo las medidas de control de acceso y seguridad del personal mencionadas en el artículo 21 apartado 2 de la Directiva NIS2 (Directiva (UE) 2022/2555). Quien trabaja con ISO/IEC 27001 reconoce esto como una medida de control del Anexo A sobre gestión de acceso y terminación de una relación laboral; un auditor generalmente preguntará específicamente por la evidencia del último cese de relación laboral, no solo por la política en papel.