nad tahavad teada, kuidas me kaugust tööd kaitseme

Kaugkontori turvalisus kuulub juurdepääsu turvalisuse ja MFA alla

Kaugkontorite küsimus ei ole tavaliselt eraldi teema, vaid kahe laiema meetme rakendamine artikli 21 lõike 2 NIS2 alusel: juurdepääsulaiendis (punkti e alusel kuulub "krüptograafia kasutamise poliitika ja protseduurid" mõnikord ka VPN-krüpteerimise küsimuse juurde) ja autentimine (punkti j alusel, mitmetasandiline autentimine ja turvaline side). Kliendid soovivad teada, kas kaugkontor on sama hästi kaitstud kui kontoripind: kas VPN või nulljuurdepääsu lähenemine on kohustuslik, kas MFA on sisselülitatud kõigil välisühendustel, ja kas on olemas poliitika selle kohta, millised seadmed (ettevõtte sülearvuti versus privaatne telefon) pääsevad juurde.

Kui te seda selgesõnaliselt kindlaks ei ole pannud, siis ausaim vastus on "ei" selgitusega: näiteks et juurdepääs ettevõtte süsteemidele käib igatahes MFA kaudu, sõltumata töötaja asukohast. Sageli on see tugevam kui pooleli täidetud "jah" kaugkontorite poliitika kohta, mis pole olemas. Kontrollige esmalt, kas mitmeastmeline autentimine ettevõtte süsteemidele on juba fikseeritud — kui see vastus on "jah", siis see katab suure osa sellest küsimusest juba, sest enamik kliente küsivad kaugkontori kohta just selleks, et kontrollida, kas juurdepääs on asukoht-sõltumatul viisil hästi reguleeritud. Kui puudub nii VPN-poliitika kui MFA, siis "ei" vastus on ilmne, võimalik selgitusega selle kohta, mis on tegelikult olemas (näiteks ainult paroolpoliitika).

Kus see ISO 27001 lisa A-s konkreetsemaks muutub

ISO/IEC 27001 lisa A töötab selle edasi "kaugkontori" ja juurdepääsukontrolli kontrollmeetmete all, ja paljud pangandus- ja suurte ostjate küsimustikud on otseselt selle lisa A-jaotusele tugineva — seepärast esitatakse küsimus sageli NIS2-kümne eraldi. Kas organisatsioon saab selle kohta midagi struktureeritud väita, oleneb ka sellest, kas organisatsioon ise Küberturvalisuse seaduse reguleeritava ringi alla kuulub; kui see nii ei ole, siis on pragmaatiline vastus olemasoleva olukorra kohta piisav. Kui olete ebakindel, kas organisatsioon selle alla kuulub, vaadake siis kas organisatsioon kuulub NIS2 või selle riikliku rakendamise reguleeritavasse ringi — see määrab, kui raskesti peab see vastus kogu nimekirja üldpildis kaalu omama.