Е ли установен политиката за достъп, включително управлението на корпоративни активи?

Политиката за достъп и управлението на активи са две отделни мерки

Този въпрос често съчетава две неща: политика за достъп (кой има достъп до каква система и какви данни) и управление на корпоративни активи, известно още като управление на активи (познаване какви устройства, системи и информационни носители имате и кой е отговорен за тях). В член 21 параграф 2 на Директива NIS2 две от десетте задължителни мерки се появяват един до друг, но те не са синоними. Клиент, който поставя това като един въпрос, обикновено иска да знае дали имате под контрол и двете, а не дали са еднакви.

За политиката за достъп е релевантно дали съществува процедура за предоставяне и отнемане на права, дали това е свързано с функции и дали многофакторната аутентификация се използва за критични системи. За управлението на активи е въпрос на наличието на актуален преглед на оборудване, софтуер и информационни носители, включително кой е собственик на всеки актив и какво се случва при изтеглянето или подмяната на оборудване. Ако нямате официално установена политика, но имате работещ процес — например актуален списък на потребителите в IAM система, без да е приложен документ за политика — тогава "не" на този въпрос е често фактически по-правилно от преждевременно "да". Отсъствието на документ е различно от отсъствието на самата мярка и именно това разграничение е причина този отговор обикновено остава "предстои да се определи" докато не знаете какво доказателство очаква клиентът: документ за политика, снимка на структурата на правата или декларация.

Където се съдържа: член 21 параграф 2 NIS2

Член 21, параграф 2 на Директива (EU) 2022/2555 посочва политика за контрол на достъпа и управление на активите като отделни компоненти в рамките на десетте задължителни мерки, наред с други, анализ на риска и политика за криптиране. Самата директива не предписва фиксиран формат: как една организация го документира и доказва, зависи от организацията и от това, което питащият клиент приема като доказателство в собствения си портал.