dotazník chce vědět, jak regulujeme přístup k systémům, jak mohu odpovědět

Řízení přístupu se točí kolem autorizace, ověřování a protokolování

Tato otázka spadá pod zásady kontroly přístupu a většina dotazníků ji rozděluje na tři části: jak se přístup uděluje a odvolává (autorizace), jak se ověřuje identita uživatele (ověřování) a zda se zaznamená, kdo kdy k jakému systému přistupoval (protokolování). Úplná odpověď zmiňuje všechny tři. Pro autorizaci je běžná odpověď, že přístup se uděluje na základě funkce nebo role, že se práva přezkoumávají při změně funkce nebo ukončení zaměstnání a že existuje periodická kontrola aktivních účtů. Pokud neexistuje pevný proces, ale přístup se přesto uděluje ručně a omezeně, je realistickou odpovědí "částečně" s krátkou poznámkou, nikoli "ano".

Pro ověřování se často zvlášť ptají, zda je pro přístup do podnikových systémů používáno vícefaktorové ověřování — to je samostatná odpověď, i když je zbytek zásad řízení přístupu v pořádku. Pro protokolování je dokladem obvykle export ze systému správy identit a přístupu nebo snímek obrazovky struktury rolí; dokument o zásadách bez podkladového systému zřídka přesvědčí. Pokud tento důkaz chybí, je "ne, dosud neformalizováno" udržitelnou odpovědí — riziko spočívá v "ano" bez podloženého dokladu.

Lze vést zpět na článek 21 odst. 2 a Příloha A

Řízení přístupu je uvedeno jako samostatné opatření v článku 21 odst. 2 směrnice NIS2, vedle širšího požadavku, aby byly zásady přístupu včetně správy podnikového majetku zdokumentovány. V normě ISO/IEC 27001 se stejný požadavek opakuje v Příloze A pod opatřeními kontroly přístupu; pokud je v tomto oboru již certifikován, můžete tento certifikát předložit jako důkaz místo shromažďování samostatných dokumentů.