zákazník se ptá, jak řídíme přístup pro externí dodavatele nebo freelnancery

Přístup třetích stran spadá pod politiku přístupu, ne pod řízení dodavatelského řetězce

Tato otázka patří do politiky přístupu podniku, ne do otázek týkajících se samotných dodavatelů. Zákazník chce vědět, jak zabráníte tomu, aby měl freelancer nebo externí strana více práv, než je nezbytné, a jak tento přístup zrušíte, jakmile je práce hotová. Rozlište si to i sami: otázka o požadavcích na bezpečnost, které stanovíte externím stranám, se týká řízení dodavatelského řetězce, otázka o tom, jak se tyto strany přihlašují do vašich systémů, se týká přístupu. Dotazníky to často zaměňují, ale jedná se o dvě různá opatření z článku 21 odstavec 2 NIS2 a dvě různé kapitoly Přílohy A v normě ISO 27001.

Co se konkrétně ptá: máte proces pro udělení, změnu a zrušení přístupu (onboarding a offboarding), pracujete s dočasnými nebo prošlými účty pro externí strany a platí princip nejmenších práv — přístup pouze k tomu, co je nezbytné, ne k celé síti. Pokud externí strany získají přístup na dálku, často se také ptají, zda je vyžadováno vícefaktorové ověřování . Pokud nemáte zvláštní politiku pro externí strany, ale spoléháte se na obecné řízení přístupu, v kterém se nerozlišuje mezi vlastními zaměstnanci a třetími stranami, pak je "ne" upřímná odpověď — sdílené heslo nebo stále aktivní účet po dokončení úkolu se nepočítá jako řízený přístup.

Kde se to v směrnici a normě nachází

Článek 21 odstavec 2 NIS2 jmenuje politiku kontroly přístupu a bezpečnost personálu jako dvě z deseti povinných opatření; ISO 27001 to rozpracovává v Příloze A pod kontrolou přístupu se zvláštním zřetelem na přístup třetích stran a jeho zrušení na konci smlouvy.