πώς συμπληρώνω την ερώτηση σχετικά με το VPN και την ασφαλή απομακρυσμένη πρόσβαση

Το ερώτημα εκτείνεται πέρα από το απλό VPN

Ένα VPN είναι μία τεχνική, αλλά το ίδιο το ερώτημα αφορά τη διασφάλιση της απομακρυσμένης πρόσβασης ως σύνολο. Αυτό εμπίπτει στο σημείο (i) των δέκα μέτρων του άρθρου 21 παράγραφος 2 NIS2: διασφάλιση προσωπικού, πολιτική πρόσβασης και διαχείριση περιουσιακών στοιχείων επιχειρήσεων. Ένας πελάτης που ζητά πληροφορίες σχετικά με «ασφαλή απομακρυσμένη πρόσβαση» θέλει συνήθως να γνωρίζει εάν υπάρχει VPN ή συγκρίσιμη κρυπτογραφημένη σύνδεση, εάν η πολυ-παραγοντική αυθεντικοποίηση είναι υποχρεωτική, και εάν η πρόσβαση περιορίζεται σε αυτό που χρειάζεται κάποιος για τη λειτουργία του. Επομένως, μην απαντήσετε μόνο «ναι, χρησιμοποιούμε VPN» — προσθέστε εάν είναι υποχρεωτικό για όλη την εξωτερική πρόσβαση, και εάν υπάρχει χρονικό όριο ή αυτόματη αποσύνδεση.

Εάν δεν έχετε VPN αλλά κάποιον άλλο μηχανισμό — μια λύση zero-trust, ένα gateway με πιστοποίηση sertifikάτων, ένα περιβάλλον cloud χωρίς τοπικό δίκτυο — τότε το «όχι» στο κυριολεκτικό ερώτημα VPN δεν είναι λάθος, αλλά είναι ελλιπές. Περιγράψτε σε αυτή την περίπτωση τι χρησιμοποιείται αντ' αυτού, διότι το portál του πελάτη σας ρωτά στην πραγματικότητα για τον σκοπό (κρυπτογραφημένη, ελεγχόμενη πρόσβαση), όχι για το συγκεκριμένο προϊόν. Εάν λείπει η πολυ-παραγοντική αυθεντικοποίηση στην απομακρυσμένη πρόσβαση, πρόκειται για ένα ξεχωριστό ερώτημα που συχνά εμφανίζεται ξανά στη λίστα, δείτε χρησιμοποιείται πολυ-παραγοντική αυθεντικοποίηση για την πρόσβαση σε συστήματα επιχειρήσεων. Εάν δεν έχετε τεκμηριώσει ποιος μπορεί να συνδεθεί απομακρυσμένα και με ποια δικαιώματα, αυτό επηρεάζει επίσης το ευρύτερο ερώτημα σχετικά με την πολιτική πρόσβασης, δείτε έχει καθοριστεί η πολιτική πρόσβασης, συμπεριλαμβανομένης της διαχείρισης των περιουσιακών στοιχείων της επιχείρησης.

Όπου αυτό υπάρχει στην κατευθυντήρια γραμμή και το πρότυπο

Το άρθρο 21 παράγραφος 2 στοιχείο i της Οδηγίας (ΕΕ) 2022/2555 ονομάζει τη διασφάλιση προσωπικού, την πολιτική πρόσβασης και τη διαχείριση περιουσιακών στοιχείων επιχειρήσεων ως ένα από τα δέκα υποχρεωτικά μέτρα· η πρόσβαση απομακρυσμένα εμπίπτει σε αυτό. Το ISO/IEC 27001 Annex A το αναπτύσσει περαιτέρω με συγκεκριμένα μέτρα ελέγχου για τη διασφάλιση πρόσβασης και τη διασφάλιση δικτύου, όπου η χρήση VPN συνήθως τεκμηριώνεται. Το Cybersecurity Act, η ολλανδική εφαρμογή του NIS2, τίθεται σε ισχύ στις 15 Αυγούστου 2026 και θέτει τα ίδια δέκα μέτρα για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής του νόμου.