küsimustik küsib, kuidas me kaugust tööd ja kaugjuurdepääsu turvaliselt korraldame

Kaugpääs kuulub juurdepääsupoliitika ja MFA alla

Küsimus kaugtöö ja kaugpääsu kohta on tavaliselt kahe järgmisest kümnest meetmest kombinatsioon artikli 21 lõike 2 NIS2 kohaselt: punkt (i), juurdepääsupoliitika ja seadmete haldamine, ja punkt (j), mitmetegurilise autentimise kasutamine. Kliendid, kes seda eraldi küsivad, soovivad teada, kuidas saab töötaja privaatsetest võrkudest või oma sülearvutist juurdepääsu ettevõtte süsteemidele, ja millised takistused sellega seotud on. Üksnes VPN-ühendus ei ole vastus sellele küsimusele — tegemist on krüpteeritud ühenduse, autentimise ja seadmete haldamise kombinatsiooniga.

Konkreetsed tõendid koosnevad tavaliselt kolmest osast: VPN- või zero-trust-seadistusest krüpteerimisel, MFA-nõudest, mis kehtib ka välispääsule (mitte ainult ettevõtte võrgus), ja ülevaatest, millistel seadmeil on lubatud pääs — privaatsel või ettevõtte omandil. Kui töötab Mobile Device Management lahendus, on see tugev tõendmaterjal. Kui see puudub, on vastus sageli "ei" seadmete haldamise osa kohta, isegi kui MFA on olemas. Täitke siis iga osa kaupa eraldi, mis on ja mis ei ole reguleeritud, ühe kokkuvõtva "jah" või "ei" asemel — see välitab õigustamatut "ei" vastust küsimusele, mis tegelikult osaliselt õige on. Kui liikluse krüpteerimine ise on küsimuse teema, siis see kuulub pigem krüpteerimise ja kodeerimise poliitika alla kui juurdepääs. Kui teil on kahtlus, kumma kasti see täpselt kuulub, kontrollige siis ka, kas küsimus ei käi tegelikult juurdepääsupoliitikale koos ettevõtte vahendite haldusega kohta — sageli on tegemist ju kahe eraldi alamküsimusega ühel real.

Kus see asub: artikli 21 lõik 2, punktid i ja j

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 punkt (i) käsitleb juurdepääsupoliitikat ja seadmete haldamist ning punkt (j) mitmetegurilist autentimist või pidevat autentimist, kõrval krüpteerimisega punktis (h). ISO/IEC 27001 Annex A arendab seda edasi juurdepääsu kaitse ja seadmete valdamise kontrollmeetmetes ettevõtte pinnast väljaspool. Küberjulgeoleku seadus võtab selle jaotuse üle, kui see pärast 15. augusti 2026 jõustub, seega küsimuse struktuur ei muutu — muutub aga see, kes peab sellele vastama.