клиентът пита как защитаваме мобилните устройства на персонала

Управлението на мобилни устройства попада под достъп и корпоративни ресурси

Този въпрос се отнася към член 21, параграф 2, букви д и и на NIS2: сигурност при придобиване, разработка и поддържане, както и управление на достъпа, включително управление на корпоративните ресурси. Телефоните и таблетите са корпоративни ресурси („assets") веднага щом могат да получат достъп до корпоративни данни — електронна поща, системи на клиенти, общи дискове. Клиентът желае да знае дали тези устройства са в управляемо състояние: са ли регистрирани, има ли изискване за пароль или PIN код, възможно ли е загубеното устройство да бъде дистанционно изтрито, включена ли е криптирането.

Ако се използва решение MDM (Mobile Device Management) — Intune, Jamf, Google Endpoint Management или подобно — това е доказателството: екранна снимка на профила на политиката или описание на настроените правила (PIN код, криптиране, дистанционно изтриване, ограничения на приложенията). Отсъствието на MDM не означава автоматично "не": много по-малки предприятия уреждат това с политика за собствени устройства плюс подписана декларация на потребителя. Опишете какво има вместо това, вместо да пропуснете въпроса. Тази тема се припокрива с политиката за достъп включително управление на активите — ако там вече съществуват регистър на активите и матрица на достъпа, управлението на мобилни устройства логично спада там и можете да се позовете на един и същ източник.

Без MDM и без политика "予定未決定" е честният етикет, не "не": много клиенти приемат траектория на растеж, при условие че посочите какво вече е установено и какво предстои. Посочете също дали многофакторната аутентификация задължително е за достъп от мобилни устройства — това често е отделен подвъпрос в същия списък и се обхваща от един и същ контрол.

Където това се появява в Приложение A и закона

В ISO/IEC 27001 Приложение A мобилните устройства попадат под мерките за контрол на управлението на корпоративните ресурси и сигурността на достъпа; онези, които вече са ISO-сертифицирани, обикновено вече имат това доказателство като част от политиката за достъп. Законът за киберсигурност замества от 15 август 2026 г. текущите национални правила за прилагане на NIS2, но разпределението на тази мярка — под член 21, параграф 2 — не се променя.