το ερωτηματολόγιο ρωτά για την πολιτική κινητών συσκευών και φορητών υπολογιστών υπαλλήλων

Η πολιτική κινητών συσκευών εμπίπτει στην ασφάλεια πρόσβασης και τα περιουσιακά στοιχεία της επιχείρησης

Αυτή η ερώτηση σχετίζεται με το άρθρο 21 παράγραφος 2 στοιχείο i της NIS2: πολιτική για ασφάλεια πρόσβασης, συμπεριλαμβανομένης της διαχείρισης των περιουσιακών στοιχείων της επιχείρησης ("asset management"). Τα τηλέφωνα και οι φορητοί υπολογιστές είναι περιουσιακά στοιχεία της επιχείρησης που έχουν πρόσβαση σε δεδομένα εκτός του δικτύου του γραφείου, και ο πελάτης θέλει να γνωρίζει αν υπάρχει έλεγχος σε αυτό. Στην πράξη, ο ερωτηματολόγιο αναμένει απάντηση σε ορισμένα σταθερά σημεία: υπάρχει κατάλογος των διανεμηθέντων συσκευών, είναι υποχρεωτική η κρυπτογράφηση της αποθήκευσης, υπάρχει απαίτηση ελάχιστου κωδικού PIN ή βιομετρίας, και μπορεί μια χαμένη ή κλεμμένη συσκευή να διαγραφεί εξ αποστάσεως (MDM — mobile device management). Το BYOD (bring your own device, δικές συσκευές των υπαλλήλων) εμφανίζεται συχνά ξεχωριστά, γιατί παρουσιάζει διαφορετικό κίνδυνο από τις συσκευές της επιχείρησης.

Αν αυτή η πολιτική δεν έχει ακόμη τεκμηριωθεί αλλά η πράξη είναι σε τάξη — η κρυπτογράφηση είναι ενεργοποιημένη από προεπιλογή, η πρόσβαση πραγματοποιείται μέσω ενός λογαριασμού με η πολυπλέκτορη ταυτοποίηση — τότε η απάντηση "όχι, δεν υπάρχει ακόμη τεκμηριωμένη πολιτική" είναι η ειλικρινής απάντηση, ενδεχομένως με εξήγηση σχετικά με τα πραγματικά μέτρα. Μην απαντήσετε "ναι" σε μια ερώτηση σχετικά με μια λύση MDM αν αυτή δεν υπάρχει· ένας πελάτης που στη συνέχεια θέτει περαιτέρω ερωτήσεις σχετικά με το μητρώο συσκευών ή τη διαδικασία περιστατικών σε περίπτωση απώλειας, θα καταλήξει σε κατάσταση χωρίς τεκμηρίωση. Η απώλεια ή η κλοπή συσκευής επηρεάζει επίσης τη διαδικασία για περιστατικά ασφαλείας, επομένως αυτές οι δύο απαντήσεις πρέπει να είναι συνεπείς.

Πού βρίσκεται: άρθρο 21 παράγραφος 2 και Παράρτημα A

Το άρθρο 21 παράγραφος 2 στοιχείο i της Οδηγίας (ΕΕ) 2022/2555 αναφέρει την πολιτική για ασφάλεια πρόσβασης και διαχείριση των περιουσιακών στοιχείων της επιχείρησης ως ένα από τα δέκα υποχρεωτικά μέτρα. Το ISO/IEC 27001 το αναπτύσσει περαιτέρω στο Παράρτημα A, υπό τα μέτρα ελέγχου για "endpoint devices" και κινητές συσκευές· όποιος είναι ήδη πιστοποιημένος κατά ISO 27001, συνήθως έχει ήδη αυτό το τμήμα τεκμηριωμένο. Ο ολλανδικός Νόμος περί Κυβερνοασφάλειας, ο οποίος υλοποιεί τη NIS2 και τίθεται σε ισχύ στις 15 Αυγούστου 2026, ακολουθεί την ίδια διάρθρωση σε δέκα μέτρα.