ρωτάνε ποιοι έχουν πρόσβαση στα δεδομένα τους

Πολιτική πρόσβασης, όχι κατάλογος ονομάτων

Ο πελάτης συνήθως δεν θέλει να γνωρίζει ποιο συγκεκριμένο άτομο συνδέεται, αλλά αν υπάρχει ένα σύστημα που ρυθμίζει ποιος έχει πρόσβαση σε ποιες περιοχές. Αυτό εμπίπτει στη διαχείριση πρόσβασης: ποιος έχει πρόσβαση σε ποια συστήματα και δεδομένα, με βάση ποιο ρόλο, και πώς χορηγείται και ανακαλείται. Η απάντηση αποτελείται λοιπόν από δύο μέρη: την πολιτική (πώς χορηγείται η πρόσβαση, αναθεωρείται, ανακαλείται κατά την αποχώρηση) και την πρακτική (εφαρμόζονται ρόλοι βάσει ρόλου, αρχή ελάχιστης προνόμιας, περιοδική έλεγχος ποιος ακόμη έχει πρόσβαση).

Αν δεν υπάρχει ξεχωριστό έγγραφο πολιτικής πρόσβασης αλλά η πρακτική είναι σε τάξη — για παράδειγμα ρόλοι σε ένα σύστημα, καθιερωμένη διαδικασία κατά την πρόσληψη και αποχώρηση — αυτό συχνά αρκεί για να απαντηθεί με "ναι", με την προϋπόθεση ότι είναι πραγματικά αποδείξιμο. Αν λείπουν και τα δύο, τότε η "όχι" είναι η ειλικρινής απάντηση· μια ερώτηση σχετικά με αυτό δεν προτείνεται ως "ναι" χωρίς να υπάρχει πηγή στο αρχείο της αλυσίδας. Οι σχετικές ερωτήσεις στη ίδια λίστα συχνά αφορούν έλεγχος ταυτότητας πολλών παραγόντων για εταιρικά συστήματα και σχετικά με την πολιτική ανάλυσης κινδύνου και ασφάλειας συστημάτων πληροφοριών — αυτά τα δύο ανήκουν θεματικά μαζί, γιατί η πρόσβαση είναι συνήθως ένα από τα μέτρα ελέγχου που προκύπτουν από την ανάλυση κινδύνου.

Ανάγεται στο άρθρο 21 παράγραφος 2 και Παράρτημα Α

Η διαχείριση πρόσβασης είναι ένα από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2 (Οδηγία (ΕΕ) 2022/2555): αναφέρει ρητά την πολιτική ελέγχου πρόσβασης και τη διαχείριση εταιρικών πόρων ως υποχρεωτικό μέρος της διαχείρισης κινδύνου. Στο ISO/IEC 27001 εμφανίζεται στα μέτρα ελέγχου του Παραρτήματος Α, στην κατηγορία ελέγχου πρόσβασης. Οι πελάτες που θα υπάγονται στο Νόμο Κυβερνασφάλειας — η ολλανδική μεταφορά της NIS2, η οποία θα τεθεί σε ισχύ στις 15 Αυγούστου 2026 — επομένως θέτουν αυτήν την ερώτηση ολοένα και συχνότερα τακτικά στους προμηθευτές τους, ακόμη και αν δεν έχουν ακόμη ορισθεί ως οντότητα δυνάμει της Οδηγίας.