θέλουν να ξέρουν πώς ασφαλίζουμε την τηλεργασία

Η ασφάλεια εργασίας από το σπίτι εμπίπτει στον έλεγχο πρόσβασης και στη MFA

Το ερώτημα σχετικά με τους χώρους εργασίας από το σπίτι συνήθως δεν αποτελεί ξεχωριστό θέμα, αλλά μια εκδήλωση δύο ευρύτερων μέτρων από το άρθρο 21 παράγραφος 2 της NIS2: πολιτική πρόσβασης (κάτω από το e, μερικές φορές συμπεριλαμβάνεται και η «πολιτική και διαδικασίες σχετικές με τη χρήση κρυπτογραφίας» ως ερώτημα σχετικά με κρυπτογράφηση VPN) και έλεγχος ταυτότητας (κάτω από το j, έλεγχος ταυτότητας πολλαπλών παραγόντων και ασφαλής επικοινωνία). Οι πελάτες θέλουν να μάθουν συγκεκριμένα εάν ένας χώρος εργασίας από το σπίτι είναι εξίσου καλά προστατευμένος με ένα γραφείο: απαιτείται VPN ή πρόσβαση zero-trust, είναι ενεργοποιημένη η MFA για όλες τις εξωτερικές συνδέσεις, και υπάρχει πολιτική σχετικά με ποιες συσκευές (εταιρικό φορητό υπολογιστή έναντι ιδιωτικού τηλεφώνου) μπορούν να λάβουν πρόσβαση.

Εάν δεν το έχεις καταγράψει ρητώς, τότε η πιο ειλικρινής απάντηση είναι «όχι» με εξήγηση: για παράδειγμα ότι η πρόσβαση στα συστήματα της εταιρείας προχωρά ούτως ή άλλως μέσω MFA, ανεξάρτητα από τη θέση του υπαλλήλου. Αυτό είναι συχνά ισχυρότερο από ένα μερικώς συμπληρωμένο «ναι» σχετικά με μια πολιτική εργασίας από το σπίτι που δεν υπάρχει. Ελέγξτε πρώτα εάν έλεγχος ταυτότητας πολλών παραγόντων για εταιρικά συστήματα έχει ήδη καταγραφεί — εάν η απάντηση είναι «ναι», αυτό καλύπτει ένα μεγάλο μέρος αυτού του ερωτήματος ήδη, επειδή οι περισσότεροι πελάτες ερωτούν για εργασία από το σπίτι ακριβώς για να δοκιμάσουν εάν η πρόσβαση είναι καλά ρυθμισμένη ανεξαρτήτως τόπου. Εάν λείπει τόσο η πολιτική VPN όσο και η MFA, τότε η απάντηση «όχι» είναι προφανής, με ενδεχομένως μια εξήγηση για το τι υπάρχει πράγματι (για παράδειγμα μόνο μια πολιτική κωδικού πρόσβασης).

Όπου αυτό γίνεται πιο συγκεκριμένο στο Annex A του ISO 27001

Το ISO/IEC 27001 Annex A το αναπτύσσει περαιτέρω κάτω από τα μέτρα ελέγχου για «εργασία από απόσταση» και έλεγχο πρόσβασης, και πολλές λίστες ερωτημάτων τραπεζών και μεγάλων αγοραστών βασίζονται άμεσα σε αυτήν την ταξινόμηση του Annex A — γι' αυτό το ερώτημα είναι συχνά χωριστά από τα δέκα της NIS2. Το εάν ένα εταίρημα μπορεί να πει κάτι δομημένο εδώ εξαρτάται και από το εάν η ίδια εμπίπτει στο πεδίο εφαρμογής του Νόμου για την Κυβερνοασφάλεια· εάν δεν ισχύει, τότε μια πραγματική απάντηση σχετικά με την υπάρχουσα κατάσταση είναι επαρκής. Εάν αμφιβάλλεις εάν η εταιρεία εμπίπτει σε αυτό, δες τότε στο εάν η εταιρεία εμπίπτει στο πεδίο εφαρμογής της NIS2 ή της εθνικής μεταφοράς της — αυτό καθορίζει πόσο σημαντική είναι αυτή η απάντηση στη συνολική εικόνα της λίστας.