klient küsib meie mobiilseadmete poliitika kohta, mida ma sinna täidan

Mobiiliseadme poliitika kuulub juurdepääsupoliitika alla, mitte eraldi teemade alla

See kuulub NIS2 artikli 21 lõike 2 punktide d ja i alla: juurdepääsu turvamine ja ärivahendite haldamine ("asset management"), ning ISO 27001-s lisas A varade ja juurdepääsukontrolli kategooria alla. NIS2-s ei ole eraldi mobiiltelefonidele suunatud meetme — klient tõlgib oma ISO- või BIO-küsimustiku selleks osaks, ning teie vastus peab sinna loogiliselt sobima, mitte eraldiseisva poliitikadokumendina seisma.

Praktikas: kui käib MDM-lahendus (Intune, Jamf või sarnane), kohustuslike ekraani lukustamise, krüpteerimise ja kaugseire kustutamisega kaotsiminekul, siis see on tõendidokument — poliitika konfiguratsiooni või poliitikadokumendi enda kuvatõmmis. BYOD (töötajate omad telefonid tööks) korral on küsimus sageli teravamalt sõnastatud, sest äri- ja isikuandmete vaheline erinevus on siis tähelepanu keskmes: containeriseerimine või eraldi töörakendus piisab sageli vastusena. Kui ametlikus poliitikast puudub, aga lahtised meetmed on olemas (MFA, krüpteerimine, kustutamise võimalus), siis "ei" vastus dokumenteeritud poliitika küsimusele on tegelikult õigem kui ennatlik "jah" — klient küsib sageli dokumendi järgi, mitte praktika järgi. Kontrollige ka, kas mitmeastmeline autentimine ettevõtte süsteemidele juba on vastatud, sest need kaks vastust ei tohi üksteist vastuolus olla.

Kus see küsimustikus tavaliselt kõrval seisab

Küsimustikud, mis mobiilseadme poliitikast küsivad, rühmistavad selle sageli lõpu-seadmete krüpteerimise küsimustega — vt krüpteerimise ja kodeerimise poliitika laiema krüpteerimise küsimuse jaoks, mis seal tavaliselt kõrval seisab — ja laiema vara-inventari koos juurdepääsupoliitikaga. ISO 27001 lisas A pole mobiilseadmeid eraldi peatükina, vaid juhtimise ja juurdepääsukontrolli osana; kes on vastuse sinna juba fikseerinud, saab mobiilseadme vastuse otse sinna ühendada, mitte uut poliitikadokumenti välja mõtlema.