asiakas kysyy, kuinka suojaamme henkilöstön mobiililaitteita

Mobiililaitteiden hallinta kuuluu käyttöoikeuteen ja yritysresursseihin

Tämä kysymys liittyy NIS2-direktiivin 21 artiklan 2 kappaleen d ja i alakohtaan: turvallisuus hankinnoissa, kehityksessä ja ylläpidossa sekä käyttöoikeuksien hallinta mukaan lukien yritysresurssien hallinta. Puhelimet ja tabletit ovat yritysresursseja ("assets"), kun ne voivat päästä käsiksi yritystietoihin — sähköpostiin, asiakkaiden järjestelmiin, jaettuihin levyihin. Asiakas haluaa tietää, ovatko nämä laitteet hallinnollisessa tilassa: ovatko ne rekisteröityjä, onko salasana- tai PIN-koodin vaatimus käytössä, voidaanko kadonneet laitteet poistaa etäkäytöstä, onko salaus käytössä.

Jos käytössä on MDM-ratkaisu (Mobile Device Management) — Intune, Jamf, Google Endpoint Management tai vastaava — se on todiste: kuvakaappaus käytäntöprofiilista tai kuvaus määritetyistä säännöistä (PIN-koodi, salaus, etäpoisto, sovelluksen rajoitukset). Jos MDM puuttuu, vastaus ei ole automaattisesti "ei": monet pienemmät yritykset järjestelevät tämän BYOD-käytännön ja allekirjoitetun käyttäjävakuutuksen avulla. Kuvaile siis, mikä on olemassa, sen sijaan että ohittaisit kysymyksen. Tämä aihe limittyy pääsynhallintakäytäntöön sisältäen omaisuudenhallinnan — jos siellä on jo olemassa resurssien rekisteri ja käyttöoikeuksien matriisi, mobiililaitteiden hallinta kuuluu luonnollisesti siihen ja voit viitata samaan lähteeseen.

Ilman MDM:ää ja ilman käytäntöä "vielä määritettävä" on rehellinen merkintä, ei "ei": monet asiakkaat hyväksyvät kasvupolun, edellyttäen että ilmoitat, mikä on jo olemassa ja mitä tulee vielä. Mainitse myös, onko monivaiheinen tunnistautuminen pakollinen mobiililaitteilta käytettävän pääsyn kannalta — se on usein erillinen alikysymys samalla luettelolla ja sen kattaa sama valvonta.

Missä tämä näkyy liitteessä A ja lainsäädännössä

ISO/IEC 27001 liitteessä A mobiililaitteet kuuluvat yritysresurssien hallintaan ja käyttöoikeuksien turvallisuuteen liittyviin valvontakeinoihin; jos olet jo ISO-sertifioitu, sinulla on yleensä tämä todiste valmiina osana käyttöoikeuskäytäntöä. Kyberturvallisuuslaki korvaa 15. elokuuta 2026 alkaen nykyiset NIS2-täytäntöönpanosäännöt kansallisella tasolla, mutta tämän toimenpiteen luokittelu — 21 artiklan 2 kohdan alle — ei muutu.