le questionnaire demande comment nous révoquons l'accès lorsqu'un employé quitte l'entreprise

La déprovisionnement est une partie de la politique d'accès, non du processus RH

La liste de contrôle veut savoir ici si la révocation d'accès lors du départ est un processus fixe et documenté — et non une action ad hoc qui dépend de si le responsable le transmet à IT. Concrètement, on vérifie généralement : l'accès est-il révoqué le dernier jour de travail (ou plus tôt), cela s'applique-t-il à tous les systèmes, y compris les comptes partagés et les applications cloud, et existe-t-il une liste de contrôle ou un déclencheur automatisé qui le garantit. Cela relève de la politique d'accès et à la gestion des biens de l'entreprise, et de nombreux clients en demandent spécifiquement comme partie distincte de cette question, pas comme une question isolée.

S'il n'existe pas de processus formel, mais que l'accès est toujours révoqué en pratique, une réponse « non » avec une explication est plus honnête qu'un « oui » sans preuve. La preuve qui suffit généralement ici : une description de processus ou une liste de contrôle du système de gestion des identités et des accès, une exportation des états de compte après le départ, ou une référence au processus de départ RH dans lequel l'étape IT est incluse. Si cette preuve manque, la réponse pour l'instant est « non » — ce n'est pas une condamnation de la liste de contrôle, c'est une lacune qui se fait jour et que vous pouvez combler indépendamment de cette liste. Vérifiez également si l'authentification multifacteur joue un rôle dans la réponse : certains clients demandent spécifiquement si les jetons MFA et les clés matérielles sont également confisqués, ce qui nécessite une preuve différente que la simple révocation d'un compte ; cherchez cela à authentification multifacteur pour les systèmes d'entreprise.

Où cela relève des dix mesures

La politique d'accès, y compris la révocation d'accès lors du départ, relève des mesures de contrôle d'accès et de sécurité du personnel mentionnées à l'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555). Pour ceux qui travaillent avec ISO/IEC 27001, ceci est reconnaissable comme une mesure de gestion de l'annexe A relative à la gestion des accès et à la fin d'un contrat de service ; un auditeur demandera généralement spécifiquement la preuve du dernier départ, non seulement la politique sur papier.