Клиентът пита кои доставчици имат достъп до нашите системи

Този въпрос съчетава сигурност на веригата и управление на достъпа

Клиентът всъщност иска да узнае две неща наведнъж: кои доставчици имат технически достъп до системите и дали този политика за достъп е под контрол. Това е пряко важно политиката за достъп включително управлението на активи на предприятието — там е записано кой има право да прави какво и с какви правомощия. Доставчик, който се свързва отдалечено към система, предоставя далечна поддръжка или обработва данни в собственото си приложение, попада под този отговор.

Не е само за IT-доставчици в класическия смисъл. Счетоводна фирма с достъп до финансовата система, хостинг доставчик, SaaS инструмент, в който се намират данни на клиентите: всички те са външни страни с достъп. Дали въпросът съдържа и изисквания, които предприятието поставя пред своите доставчици — договорни, технически, по отношение на правото на одит — зависи от формулировката на списъка с въпроси. Често това е отделен въпрос, който отговаря на изискванията за сигурност, които предприятието поставя пред своите собствени доставчици. Без актуален преглед на външни достъпи — списък на доставчиците с вида достъп за всяка страна — няма документ, на който да се основава този отговор, и тогава отговорът все още не може да бъде попълнен.

Където това е в десетте мерки

Политиката за достъп и сигурност на веригата са две отделни мерки в десетте от член 21 параграф 2 на Директива NIS2: сигурност на веригата е в точка d, контрол на достъпа и управление на активи на предприятието в точка i. ISO/IEC 27001 разделя това по подобен начин в Приложение A, с отделни управляващи мерки за отношения с доставчици и за управление на достъпа. Тези, които получават този въпрос от Закона за кибербезопасност, холандската имплементация на NIS2, могат да очакват, че и двата подхода — кой има достъп и дали това е контролирано — да се появят отделно на списъка.