asiakas kysyy, millä toimittajilla on pääsy järjestelmäämme

Tämä kysymys yhdistää toimitusketjun turvallisuuden ja pääsynhallinnan

Asiakas haluaa tässä itse asiassa tietää kahta asiaa samanaikaisesti: mitkä toimittajat saavat teknisesti pääsyn järjestelmiin, ja onko pääsyn hallinta kontrollissa. Se koskettaa suoraan pääsyperiaatetta mukaan lukien omaisuuden hallintaa — siellä lukee kuka saa tehdä mitä, ja millä oikeuksilla. Toimittaja, joka kirjautuu etäyhteyden kautta järjestelmään, tarjoaa etätukea tai käsittelee tietoja omassa sovelluksessaan, kuuluu tähän vastaukseen.

Se ei koske vain perinteisiä IT-toimittajia. Kirjanpitotoimisto, jolla on pääsy taloudelliseen järjestelmään, hosting-palvelun tarjoaja, SaaS-työkalu, jossa asiakastiedot ovat: ne ovat kaikki ulkoisia osapuolia, joilla on pääsy. Se, näkyykö kysymyksessä myös vaatimukset, joita yritys itse asettaa näille toimittajille — sopimuksellisesti, teknisesti, tarkastusvaltuuksien osalta — riippuu kysymysluettelon sanamuodosta. Usein se on erillinen kysymys, joka liittyy turvavaatimuksiin, joita yritys asettaa omille toimittajilleen. Ilman nykyistä luetteloa ulkoisesta pääsystä — toimittajalista, jossa on kunkin osapuolen pääsyn tyyppi — ei ole lähdeasiakirjaa, johon tämä vastaus voitaisiin perustaa, ja silloin vastausta ei voi vielä täyttää.

Missä se on kymmenessä toimenpiteessä

Pääsyperiaate ja toimitusketjun turvallisuus ovat kaksi erillistä toimenpidettä kymmenestä artiklan 21 kohdan 2 NIS2-direktiivin mukaisesti: toimitusketjun turvallisuus on kohdassa d, pääsynvalvonta ja omaisuuden hallinta kohdassa i. ISO/IEC 27001 jakaa tämän vastaavalla tavalla liitteessä A, ja siinä on erilliset hallintotoimenpiteet toimittajasuhteille ja pääsynhallinnalle. Joka saa tämän kysymyksen Kyberturvallisuuslaista, Alankomaiden NIS2-täytäntöönpanosta, voi odottaa, että molemmat näkökulmat — kuka saa pääsyn ja onko se valvottu — ilmestyvät luettelossa toisistaan erillään.