kyselylomakkeessa kysytään menettelytapaamme matkapuhelinten ja kannettavien tietokoneiden osalta

Mobiililaitteiden käytäntö kuuluu omaisuuden hallintaan ja pääsynvalvontaan

Tämä kysymys liittyy NIS2-direktiivin 21 artiklan 2 kappaleen kohtiin d ja i: turvallisuus hankinnassa, kehityksessä ja ylläpidossa sekä pääsynvalvontakäytäntö mukaan lukien liiketoiminnan varat. Kannettavat tietokoneet ja puhelimet ovat "omaisuutta" — liiketoiminnan varoja, joissa on liiketoiminnan tietoja tai joiden kautta on pääsy järjestelmiin. Asiakas haluaa siis tietää, onko olemassa kirjallinen käytäntö, joka säätää: kuka saa käyttää mitä laitetta, miten se on salattu, mitä tapahtuu katoamisen tai varkauden yhteydessä, ja sallitaanko yksityinen käyttö liiketoiminnan laitteista (tai päinvastoin, BYOD) ja mitkä ehdot siihen liittyvät.

Jos erillistä "mobile device policy" -asiakirjaa ei ole olemassa, se ei ole välittömästi ongelma — katso, ovatko sen ytimen osat jo jonnekin sijoitettu: pääsynvalvontakäytäntöön mukaan lukien liiketoiminnan varat, ISO 27001 -julistukseen Liitteessä A (omaisuuden hallinta ja mobiililaitteiden käytäntö ovat siellä hallintakeinoina), tai IT-oppaaseen. Jos se puuttuu kokonaan, "ei" on rehellinen vastaus — kirjallinen käytäntö on jotain muuta kuin irrallinen käytäntö ilman dokumentointia. Laitteiden itsensä salaus kuuluu myös tähän; se on päällekkäinen kysymykseen salaus ja salakirjoitus: kanssa, ja on hyödyllistä tietää, mikä vastaus on jo annettu siihen, jotta nämä kaksi eivät ole ristiriidassa.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

NIS2-direktiivin 21 artiklan 2 kappaleen kohdassa i mainitaan "henkilöstön turvallisuus, pääsynvalvontakäytäntö ja liiketoiminnan varojen hallinta" yhtenä kymmenestä pakollisesta toimenpiteestä; mobiililaitteet kuuluvat jälkimmäiseen. ISO/IEC 27001 kehittää tätä edelleen Liitteessä A, joilla on erityisiä hallintakeinoja "mobiililaitteille" ja "omaisuuden hallinnalle" — organisaatiolla, jolla on ISO 27001 -sertifikaatti, on yleensä tämä osuus jo dokumentoitu. Kyberturvalaaki siirtää tämän velvoitteen kansalliseen lainsäädäntöön ja tulee voimaan 15. elokuuta 2026; siihen asti direktiivi itsessään on kiinnityskohta, ei kansallinen laki.