το ερωτηματολόγιο θέλει να ξέρει πώς ρυθμίζουμε την πρόσβαση στα συστήματα, τι απαντώ

Ο έλεγχος πρόσβασης περιστρέφεται γύρω από εξουσιοδότηση, επαλήθευση και καταγραφή

Αυτή η ερώτηση εμπίπτει στην πολιτική ελέγχου πρόσβασης, και οι περισσότερες λίστες ερωτήσεων την χωρίζουν σε τρία μέρη: πώς χορηγείται και ανακαλείται η πρόσβαση (εξουσιοδότηση), πώς επαληθεύεται η ταυτότητα του χρήστη (ταυτοποίηση), και καταγράφεται ποιος, πότε και σε ποιο σύστημα έχει πρόσβαση (καταγραφή). Μια ολοκληρωμένη απάντηση αναφέρει και τα τρία. Για την εξουσιοδότηση, η συνηθισμένη απάντηση είναι ότι η πρόσβαση χορηγείται με βάση τη θέση ή το ρόλο, ότι τα δικαιώματα ελέγχονται κατά την αλλαγή θέσης ή την αποχώρηση, και ότι υπάρχει περιοδική επιθεώρηση των ανοιχτών λογαριασμών. Αν δεν υπάρχει σταθερή διαδικασία αλλά η πρόσβαση χορηγείται χειρωνακτικά και περιορισμένα, μια ρεαλιστική απάντηση είναι "εν μέρει" με σύντομη επεξήγηση, όχι "ναι".

Για την ταυτοποίηση συχνά ζητείται ξεχωριστά αν χρησιμοποιείται ταυτοποίηση πολλαπλών παραγόντων για πρόσβαση στα συστήματα της εταιρείας — αυτό είναι μια ανεξάρτητη απάντηση, ακόμη και αν η πολιτική πρόσβασης είναι διαφορετικά σε τάξη. Για την καταγραφή, το αποδεικτικό στοιχείο είναι συνήθως μια εξαγωγή από το σύστημα διαχείρισης ταυτότητας και πρόσβασης ή ένα στιγμιότυπο της δομής ρόλων· ένα έγγραφο πολιτικής χωρίς υποκείμενο σύστημα σπάνια έχει αποτέλεσμα. Αν λείπει αυτό το αποδεικτικό στοιχείο, τότε το "όχι, δεν έχει ακόμη επισημοποιηθεί" είναι μια αξιόπιστη απάντηση — ο κίνδυνος έγκειται στο "ναι" χωρίς αποδεικτικό στοιχείο πίσω του.

Ανάγεται στο άρθρο 21 παράγραφος 2 και Παράρτημα A

Ο έλεγχος πρόσβασης αναφέρεται ως ξεχωριστό μέτρο στο άρθρο 21 παράγραφος 2 της Οδηγίας NIS2, παράλληλα με την ευρύτερη απαίτηση ότι η πολιτική πρόσβασης συμπεριλαμβανομένης της διαχείρισης των περιουσιακών στοιχείων της εταιρείας έχει θεσπιστεί. Στο ISO/IEC 27001 η ίδια απαίτηση εμφανίζεται και πάλι στο Παράρτημα A, στα μέτρα ελέγχου για τον έλεγχο πρόσβασης· όποιος είναι ήδη πιστοποιημένος για το θέμα αυτό, μπορεί να υποβάλει το πιστοποιητικό ως αποδεικτικό στοιχείο αντί να συγκεντρώνει χωριστά έγγραφα.