il cliente chiede se revochiamo immediatamente l'accesso dei dipendenti che se ne vanno, come lo provo

La revoca al termine del rapporto è di solito la risposta, "immediato" è la trappola

Sì, nella maggior parte dei casi puoi rispondere affermativamente — ma solo se puoi dimostrare che il processo avviene effettivamente entro un termine fisso e breve, non solo che la politica lo prescrive. La domanda verifica due cose contemporaneamente: la regola è documentata, e il processo funziona anche nella pratica. Molti imprenditori rispondono "sì" perché il documento di policy lo dice, mentre manca il documento probatorio: un log o un elenco di ticket che dimostri quando un account è stato effettivamente disabilitato, confrontato con l'ultimo giorno di lavoro tratto dall'amministrazione del personale.

Se non hai questo elenco, non rispondere automaticamente "sì". Senza prove sottostanti, "no" o "parzialmente" è la risposta più onesta, anche se sei certo che il processo esiste — il cliente chiede infatti la dimostrabilità, non una promessa. Questo argomento è correlato a la politica di accesso e la gestione dei beni aziendali: chi non registra centralmente l'accesso ai sistemi e alle apparecchiature non può dimostrare al termine del rapporto che tutto è stato revocato. E poiché la revoca dell'accesso spesso coincide con un'azione di tipo incidentale (un account che deve essere "disattivato"), è consigliabile far corrispondere questa risposta a la procedura per gli incidenti di sicurezza: alcuni clienti si aspettano che un account dimenticato sia registrato come incidente.

La base si trova nell'articolo 21 paragrafo 2, punto i

Questa domanda rientra nelle dieci misure dell'articolo 21 paragrafo 2 della direttiva NIS2, in particolare il punto i riguardante la sicurezza del personale e la politica di accesso. ISO/IEC 27001 lo sviluppa ulteriormente nell'Allegato A, nelle misure di controllo relative alla cessazione o modifica del rapporto di lavoro e ai diritti di accesso. Le aziende già certificate ISO 27001 dispongono solitamente di questa prova come parte del loro fascicolo di audit — se non hai un certificato, un log o un elenco di ticket proprio è l'alternativa più diretta.