le client demande si nous révoquons immédiatement l'accès des prestataires qui partent, comment le prouver

La révocation lors de la cessation d'emploi est généralement la réponse, le piège est la notion de « direct »

Oui, dans la plupart des cas, tu peux répondre par l'affirmative — mais seulement si tu peux montrer que le processus se déroule effectivement dans un délai fixe et court, et non pas simplement que la politique l'exige. La question teste deux choses à la fois : la règle est-elle écrite, et le processus fonctionne-t-il aussi dans la pratique. De nombreux entrepreneurs répondent « oui » parce que le document de politique le dit, alors que la preuve qui fait défaut est : un journal ou un aperçu de tickets montrant quand un compte a été effectivement désactivé, comparé au dernier jour de travail dans l'administration RH.

Si tu n'as pas cet aperçu, ne réponds pas automatiquement « oui ». Sans preuve sous-jacente, « non » ou « partiellement » est la réponse plus honnête, même si tu es certain que le processus existe — le client demande en effet la démonstration, pas une promesse. Ce sujet est lié à la politique d'accès et de la gestion des actifs: celui qui n'enregistre pas centralement l'accès aux systèmes et équipements ne peut pas démontrer lors de la cessation d'emploi que tout a été révoqué. Et parce que la révocation d'accès coïncide souvent avec une action de type incident (un compte qui doit être « fermé »), il est judicieux d'aligner cette réponse sur la procédure de traitement des incidents de sécurité: certains clients s'attendent à ce qu'un compte oublié soit enregistré comme incident.

La base se trouve à l'article 21, paragraphe 2, point i

Cette question relève des dix mesures de l'article 21, paragraphe 2 de la directive NIS2, en particulier du point i sur la sécurité du personnel et la politique d'accès. L'ISO/IEC 27001 l'élabore davantage dans l'Annexe A, dans les mesures de contrôle concernant la cessation ou la modification de la relation de travail et les droits d'accès. Les entreprises déjà certifiées ISO 27001 disposent généralement de cette preuve dans le cadre de leur dossier d'audit — pas de certificat, alors un journal ou aperçu de tickets interne est l'alternative la plus directe.