искат да знаят как защитаваме работата от разстояние

Защитата при дистанционна работа попада под контрол на достъпа и MFA

Въпросът за дистанционни работни места обикновено не е отделна тема, а разработка на две по-широки мерки от член 21 параграф 2 на NIS2: политика за достъп (под буква е, "политика и процедури относно използването на криптография" понякога се включва и като въпрос за VPN криптиране) и аутентификация (под буква й, многофакторна аутентификация и защитена комуникация). Клиентите искат конкретно да знаят дали дистанционното работно място е защитено толкова добре, колкото офисното място: наложена ли е VPN или zero-trust достъп, включена ли е MFA за всички външни връзки, и има ли политика относно кои устройства (корпоративен лаптоп срещу лична телефон) имат разрешение за достъп.

Ако това не си закрепил явно, тогава най-честният отговор е "не" с обяснение: например че достъпът до корпоративни системи във всеки случай преминава през MFA, независимо от местоположението на служителя. Това е често по-силно от половинчат "да" относно политика за дистанционна работа, която не съществува. Проверете първо дали многофакторната аутентификация за корпоративни системи вече е закрепено — ако този отговор е "да", то той вече покрива голяма част от този въпрос, защото повечето клиенти питат за дистанционна работа именно за да проверят дали достъпът е добре организиран независимо от място. Ако липсват както политиката за VPN, така и MFA, тогава отговорът "не" е очевиден, евентуално с обяснение относно това, което съществува (например само политика за пароли).

Където това е по-конкретно изложено в Приложение A на ISO 27001

ISO/IEC 27001 Приложение A това разработва по-нататък под мерките за контрол за "дистанционна работа" и контрол на достъпа, и много въпросници на банки и големи закупуватели се основават пряко на тази класификация на Приложение A — поради което въпросът често стои независимо от NIS2-десетката. Дали едно предприятие може да каже нещо структурирано по този въпрос, зависи и от това дали самото предприятие попада под Закона за киберсигурност; ако не е така, то прагматичен отговор относно съществуващото положение е достатъчен. Ако се усъмниш дали предприятието попада под него, вижте в дали предприятието попада под NIS2 или националната й транспозиция — това определя колко голямо значение този отговор трябва да има в общата картина на списъка.