klient küsib, kuidas me reguleerime juurdepääsu väliste tarnijate ja freelancerite jaoks

Kolmandate osapoolte juurdepääs kuulub juurdepääsupoliitika alla, mitte ahelate halduse alla

See küsimus kuulub ettevõtte juurdepääsupoliitika alla, mitte küsimuste alla, mis puudutavad müüjaid otseselt. Klient soovib teada, kuidas te takistate, et vabakutseline või väline osapool ei saaks rohkem õigusi kui vaja, ja kuidas te peatate juurdepääsu kohe pärast tööde lõppu. Tehke see eristus ise: küsimus turvaline nõuete kohta, mille te välistele osapoolte suhtes kehtestada, käib ahelate haldusekohta, küsimus selle kohta, kuidas need osapooled ise teie süsteemidesse sisse logitakse, käib juurdepääsu kohta. Küsimustikud segavad neid sageli kokku, kuid tegemist on kahe erineva meetmega artikli 21 lõike 2 NIS2 alusel ja kahe erineva Annex A peatükiga ISO 27001-is.

Konkreetne küsimus: kas teil on juurdepääsu andmise, muutmise ja peatamise protsess (onboarding ja offboarding), kas te kasutate ajutisi või aegunud kontosid väliste osapoolte jaoks, ja kas kehtib väikseima privileegi põhimõte — juurdepääs ainult sellele, mis on vajalik, mitte kogu võrku. Kui välisosapooled saavad kaugjuurdepääsu, küsitakse sageli ka, kas mitmefaktoriga autentimine on kohustuslik. Kui teil pole eraldi poliitikat väliste osapoolte jaoks, vaid te tuginete üldisele juurdepääsuhaldusele, kus enda töötajate ja kolmandate osapoolte vahel ei tehta vahet, siis on "ei" aus vastus — jagatud parool või jätkuvalt aktiivne konto pärast ülesande täitmist ei loenda hallitud juurdepääsuks.

Kus see juhendis ja normi sees asub

Artikli 21 lõike 2 NIS2 kohaselt on juurdepääsupoliitika ja personali turvalisus kaks kaheksa kohustuslikust meetmest; ISO 27001 detailitseerib seda Annex A jaotises juurdepääsukontrolli all, pöörates erilist tähelepanu kolmandate osapoolte juurdepääsule ja selle peatamisele lepingu lõpul.