come compilo il fatto che revochiamo l'accesso del personale che se ne va

Questa domanda rientra nella politica di accesso, non nel processo HR

Ciò rientra in la politica di accesso, inclusa la gestione dei beni aziendali — non in una sezione HR separata. La parte richiedente vuole sapere se gli account, le password e i diritti di accesso del personale in partenza vengono revocati strutturalmente e se ciò avviene entro un termine fisso dopo l'ultimo giorno lavorativo. Una buona risposta menciona tre cose: chi esegue la revoca (IT, HR, o un processo automatizzato), entro quale termine avviene, e se ciò vale anche per l'accesso ai sistemi di terzi come applicazioni cloud o VPN.

Se esiste una procedura fissa — ad esempio: HR comunica la cessazione del rapporto, IT disattiva tutti gli account entro 24 ore — allora "sì" può essere motivato, purché il processo sia effettivamente documentato e non solo praticato. Se manca la documentazione, o la revoca avviene in modo ad hoc senza termine fisso, allora "ancora da determinare" è la risposta più onesta: il sistema lo suggerisce finché il dossier non contiene una descrizione della procedura o un documento probatorio, e l'imprenditore stesso conferma se desidera renderlo più rigoroso prima di presentare. Spesso si tratta di documentare ciò che già accade, piuttosto che istituire un nuovo processo.

Perché rientra nella gestione degli accessi: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 della direttiva NIS2 menziona la politica di accesso e la gestione dei beni aziendali come una delle dieci misure obbligatorie; la revoca dell'accesso al termine del rapporto è una parte diretta di essa, perché un account ancora attivo di un ex dipendente è un punto di accesso non controllato. ISO/IEC 27001 lo approfondisce nell'Allegato A, dove la cessazione o la modifica dei diritti di accesso al termine del rapporto di lavoro è elencata come una misura di controllo separata. Per le aziende che stesse rientrano nell'ambito di applicazione di queste norme — come descritto nella domanda se l'azienda rientra nella direttiva o nella sua trasposizione nazionale — questo non è quindi un dettaglio facoltativo, ma parte delle misure fondamentali obbligatorie.