nad küsivad, kellel on juurdepääs nende andmetele

Juurdepääsupoliitika, mitte nimekirja

Klient soovib siin tavaliselt teada, mitte millisel üksikisikul on login, vaid kas on olemas süsteem, mis reguleerib, kes millele juurde pääseb. See kuulub juurdepääsu kontrollimise alla: kellel on juurdepääs milliste süsteemide ja andmeteni, millise rolli alusel, ja kuidas seda antakse ja tühistatakse. Vastus koosneb seega kahest osast: poliitikast (kuidas antakse juurdepääs, vaadatakse üle, tühistatakse teenistusest lahkumisel) ja praktikast (kasutatakse rollipõhiseid õigusi, vähimate privileegide põhimõtet, perioodilist kontrolli selle üle, kellel on endiselt juurdepääs).

Kui eraldi juurdepääsupoliitika dokumenti pole, kuid praktika on korras — näiteks rollid süsteemis, kindel protsess töötajate palkamisel ja lahkumisel — on selle tõestamine sageli piisav, et vastata "jah", eeldusel, et see on tõesti tõendatav. Kui mõlemat on puudu, siis on "ei" aus vastus; küsimuse kohta antud ettepanekut esitada "jah"-ga ilma ketendossieeis oleva allikata ei tehta. Seotud küsimused samal loendil puudutavad sageli mitmeastmeline autentimine ettevõtte süsteemidele ja riskianalüüsi ja infosüsteemide turvalisuse poliitikat — need kaks kuuluvad sisuliselt kokku, sest juurdepääs on tavaliselt üks riskianalüüsist tulenevate kontrollmeetmete hulgas.

Jälgitav artikli 21 lõike 2 ja Annex A juurde

Juurdepääsu kontroll on üks kümnest meetmest artikli 21 lõike 2 alusel NIS2 direktiivist (Direktiiv (EU) 2022/2555): see nimetab selgesõnaliselt juurdepääsu kontrollimise ja ärivahendite haldamise poliitikat riskijuhtimise kohustuslikuks osaks. ISO/IEC 27001-s ilmneb see Annex A kontrollmeetmetes juurdepääsu kontrollimise kategooria all. Kliendid, kes langevad ise Küberturvalisuse seaduse regulatsiooni alla — NIS2 Hollandi ülevõtmine, mis jõustub 15. augustil 2026 — esitavad seetõttu seda küsimust oma tarnijatele üha sagedamini standardne, isegi kui nad ise ei ole veel määratud direktiivis olevaks üksuseks.