klient küsib, millised tarnijad on meie süsteemidele juurdepääsu

See küsimus ühendab tarneahela turvalisust ja juurdepääsukontrolli

Klient soovib tegelikult siin kahte asja korraga teada: millised tarnijad on tehniliselt juurdepääsu süsteemidele, ja kas see juurdepääsupoliitika on kontrollitud. See puudutab otseselt juurdepääsupoliitika kaasa arvatud ärivahenditega seotud haldamist — seal on kirjas, kes saab midagi teha ja milliste õigustega. Tarnija, kes kaugelt süsteemis logib sisse, teostab remote-tuge või töödeleb andmeid oma rakenduses, kuulub selle vastuse alla.

See puudutab mitte ainult IT-tarnijaid klassikalises mõttes. Buhhalteeria büroo, kellel on juurdepääs finantssüsteemile, hostingu pakkuja, SaaS-tööriist, kus kliendi andmed asuvad: need on kõik välisosapooled juurdepääsuga. Kas küsimus puudutab ka nõudeid, mida ettevõte ise nendele tarnijatele esitab — lepinguliselt, tehniliselt, auditi õiguse suhtes — sõltub küsimustiku sõnastusest. Sageli on see eraldi küsimus, mis seostub turvalisuse nõuetega, mida ettevõte esitab oma tarnijatele. Ilma välisele juurdepääsule antud ajaloolise ülevaateta — tarnijate nimekirjata, kus on määratud juurdepääsu tüüp iga poole jaoks — ei ole selle vastuse aluseks käivat dokumenti, ja siis vastust ei saa täita.

Kus see kümnes meetmes asub

Juurdepääsupoliitika ja tarneahela turvalisus on kaks eraldi meetme NIS2-direktiivi 21. artikli 2. lõike kümnest: tarneahela turvalisus asub punktis d, juurdepääsukontroll ja ärivahendite haldamine punktis i. ISO/IEC 27001 jagab seda sarnaselt Lisas A, millel on eraldi kontrollimistegevused tarnija suhetele ja juurdepääsukontrollile. Kes saavad selle küsimuse Küberturvalisuse seadusest, NIS2 Hollandi transpositsioonist, võivad eeldada, et mõlemad vaatepunktid — kellel on juurdepääs ja kas see on kontrollitud — tulevad nimekirjas eraldi tagasi.