quieren saber cómo aseguramos el trabajo remoto

La seguridad del teletrabajo cae bajo la seguridad del acceso y MFA

La pregunta sobre puestos de teletrabajo normalmente no es un tema aparte, sino una elaboración de dos medidas más amplias del artículo 21 apartado 2 NIS2: política de acceso (bajo e, "política y procedimientos relativos al uso de criptografía" a veces también incluye una pregunta sobre cifrado VPN) y autenticación (bajo j, autenticación multifactor y comunicación segura). Los clientes quieren saber concretamente si un puesto de teletrabajo está tan bien asegurado como un puesto de oficina: ¿es obligatorio un VPN o acceso de confianza cero, está MFA activado para todas las conexiones externas, y hay política sobre qué dispositivos (portátil corporativo versus teléfono privado) pueden obtener acceso.

Si no lo has documentado explícitamente, la respuesta más honesta es "no" con una aclaración: por ejemplo, que el acceso a sistemas corporativos en cualquier caso pasa por MFA, independientemente de la ubicación del empleado. Esto suele ser más sólido que un "sí" parcialmente cumplimentado sobre una política de teletrabajo que no existe. Primero comprueba si autenticación multifactor para sistemas empresariales ya está documentado — si esa respuesta es "sí", eso cubre gran parte de esta pregunta ya, porque la mayoría de los clientes preguntan sobre teletrabajo precisamente para comprobar si el acceso está bien regulado de forma independiente de la ubicación. Si faltan tanto la política VPN como MFA, entonces la respuesta "no" se impone, posiblemente con una aclaración sobre lo que sí existe (por ejemplo, solo una política de contraseñas).

Dónde esto se concreta en el Anexo A de ISO 27001

ISO/IEC 27001 Anexo A desarrolla esto más específicamente bajo las medidas de control para "teletrabajo" y control de acceso, y muchas listas de verificación de bancos y grandes clientes se basan directamente en esa disposición del Anexo A — de ahí que la pregunta frecuentemente esté separada de los diez puntos NIS2. Si una empresa puede decir algo estructurado al respecto depende también de si ella misma está sujeta a la Ley de Ciberseguridad; si no es así, una respuesta pragmática sobre la situación existente es suficiente. Si tienes dudas sobre si la empresa está sujeta a ella, consulta en si la empresa está sujeta a NIS2 o a su transposición nacional — eso determina cuánto peso debe tener esta respuesta en la imagen general de la lista.