el cliente pregunta si revocamos directamente el acceso de las personas que se van, cómo lo pruebo

La revocación en caso de cese es generalmente la respuesta, "inmediato" es la trampa

Sí, en la mayoría de los casos puedes responder afirmativamente aquí — pero solo si puedes demostrar que el proceso realmente ocurre dentro de un plazo fijo y corto, no solo que la política lo prescribe. La pregunta prueba dos cosas a la vez: ¿consta la norma por escrito?, ¿funciona también el proceso en la práctica? Muchos empresarios responden "sí" porque el documento de política lo dice, mientras que falta el elemento de prueba: un registro o descripción general de tickets que demuestre cuándo se desactivó realmente una cuenta, contrastado con el último día de trabajo de la administración de RRHH.

Si no tienes esa descripción general, no respondas automáticamente "sí". Sin pruebas subyacentes, "no" o "parcialmente" es la respuesta más honesta, incluso si estás seguro de que el proceso existe — el cliente pregunta por demostrabilidad, no por una promesa. Este tema está relacionado con la política de acceso y la gestión de activos: quien no registra centralmente el acceso de sus usuarios a sistemas y equipos, tampoco puede demostrar en caso de cese que todo se ha revocado. Y como la revocación de acceso a menudo coincide con una acción de tipo incidente (una cuenta que debe "desactivarse"), es inteligente hacer que esta respuesta esté conectada con el procedimiento para incidentes de seguridad: algunos clientes esperan que una cuenta olvidada se registre como incidente.

La base se encuentra en el artículo 21, apartado 2, letra i

Esta pregunta se enmarca en las diez medidas del artículo 21, apartado 2 de la Directiva NIS2, específicamente en la letra i sobre seguridad del personal y política de acceso. ISO/IEC 27001 lo desarrolla más en el Anexo A, en las medidas de control sobre terminación o modificación de relaciones laborales y sobre derechos de acceso. Las empresas que ya están certificadas en ISO 27001 generalmente ya tienen esta prueba como parte de su expediente de auditoría — sin certificado, entonces un registro o descripción general de tickets propia es la alternativa más directa.