Клиент пита как защитаваме работата от вкъщи, какво там попълнявам

Работата от вкъщи попада под политика за достъп, а не под собствена мярка

В член 21, параграф 2 на NIS2 или в Приложение A на ISO 27001 няма отделна точка "работа от вкъщи". На практика въпросът се решава чрез комбинация: политика за достъп и управление на корпоративни активи, многофакторна идентификация и евентуално криптография за данни, които напускат корпоративната мрежа. Когато вашия клиент пита "как защитавате работата от вкъщи", обикновено това е съкратена версия на: как регулирате достъпа до корпоративни системи от място извън офиса и на кое устройство.

Конкретно проверяващия ищe три неща. Първо: дали достъпът до системи и данни от вкъщи е обвързан с управляван профил, с политиката за достъп и управлението на активите както е документирано. Второ: дали многофакторната аутентификация е задължителна за този достъп — без MFA, "да, защитено" обикновено не е издържано отговор, вижте многофакторната аутентификация за корпоративни системи. Трето: дали има криптиране на устройството или връзката (VPN, криптиране на диск), когато чувствителни данни се съхраняват локално. Ако нямате MFA или VPN задължение, отговорете с "не" или "частично" — предложено "да" без основния политика не е доказателство, това е предположение, и това предположение ще се върне в одита.

Доказателството е документът на политиката, не екранна снимка

Доказателството, което обикновено се изисква, е самата политика за достъп (с пасажа относно външната работа или отдалечения достъп) плюс експорт от доставчика на самоличност, който показва принудително налагане на MFA. Екранна снимка на един лаптоп не е доказателство за процеса. Под Закона за кибербезопасност — нидерландската транспозиция, която влиза в сила на 15 август 2026 г. — същото изискване се появява отново чрез десетте мерки на член 21, параграф 2 на NIS2; който вече има подредено политиката за достъп и MFA, има с това и предимство спрямо това задължение. Освен това това е отделено от въпроса дали вашата собствена организация сама попада под директивата като субект по NIS2 или национална транспозиция — това определя дали трябва да, а не какво попълвате тук.