zákazník se ptá, kteří dodavatelé mají přístup k našim systémům

Tato otázka kombinuje bezpečnost řetězce a kontrolu přístupu

Zákazník zde vlastně chce vědět dvě věci současně: kteří poskytovatelé mají technicky přístup k systémům a zda je tato zásada přístupu pod kontrolou. To přímo souvisí zásadu přístupu včetně správy prostředků podniku — tam je uvedeno, kdo má co smět a jaká jsou jeho práva. Dodavatel, který se vzdáleně připojuje k systému, poskytuje podporu na dálku nebo zpracovává data v jeho vlastní aplikaci, spadá pod tuto odpověď.

Nejde pouze o IT dodavatele v klasickém smyslu. Účetní kancelář s přístupem do finančního systému, poskytovatel hostingu, SaaS nástroj s údaji o zákaznících: to jsou všechno externí strany s přístupem. Zda otázka také vychází z požadavků, které si sám podnik klade na ty dodavatele — smluvně, technicky, pokud jde o právo auditu — závisí na formulaci v dotazníku. Často je to samostatná otázka, která navazuje na bezpečnostní požadavky, které si podnik na své vlastní dodavatele klade. Bez aktuálního přehledu externího přístupu — seznamu dodavatelů s typem přístupu pro každou stranu — neexistuje zdrojový dokument, na kterém by byla tato odpověď založena, a potom ji ještě není možné vyplnit.

Kde se to v deseti opatřeních nachází

Zásady přístupu a bezpečnost řetězce jsou dvě oddělená opatření v rámci deseti opatření uvedených v článku 21 odst. 2 směrnice NIS2: bezpečnost řetězce se nachází v bodě d, kontrola přístupu a správa prostředků podniku v bodě i. ISO/IEC 27001 se na toto dívá podobně v příloze A, přičemž má oddělená kontrolní opatření pro vztahy s dodavateli a pro správu přístupu. Kdo dostane tuto otázku v rámci Zákona o kybernetické bezpečnosti, holandské implementace NIS2, může očekávat, že oba přístupy — kdo má přístup a je-li to kontrolováno — se v seznamu objeví odděleně.