kyselylomake kysyy, onko etätyöpaikat suojattu, mitä minun pitää vastata

Etätyöpaikat kuuluvat pääsynvalvontakäytäntöön, eivät erilliseen aiheeseen

"Etätyölle" ei tarvita erillistä vastausta: käytännössä kysymys koskee pääsynhallintaa, todennusta ja loppukäyttäjän laitteiden suojausta. Jos nämä asiat ovat kunnossa, etätyö on katettu. Vastaa siis viittaamalla samoihin toimenpiteisiin, joita käytät jo toimiston työpaikoille: kuka saa pääsyn mihin järjestelmiin, millä laitteella ja minkä yhteyden kautta.

Käytännössä asiakas etsii kolmea asiaa: VPN-yhteyttä tai muuta salatua yhteyttä yrityksen järjestelmiin, monivaiheista todennusta ulkoiseen pääsyyn ja niiden kannettavien tietokoneiden ja puhelimien hallintaa, joita työntekijät käyttävät kotona (korjaustaso, levyn salaus, salasanakäytäntö). Jos olet dokumentoinut nämä, "kyllä" voidaan perustella. Jos jokin kolmesta puuttuu — esimerkiksi monivaiheinen todennus vaaditaan vain toimistolla, ei etätyössä — vastaus on "osittain" ja selvennys siitä, mikä osa on dokumentoitu. Tarkista tämä suhteessa pääsynhallintaan ja yritysvarojen hallintaan ja suhteessa monivaiheisen todennuksen tilaan: nämä ovat kaksi dossierdokumenttia, joihin tämä vastaus perustuu. Jos sinulla ei ole VPN:ää mutta sinulla on jokin muu salatun pääsyn muoto, määrittele se nimenomaisesti — "suojattu" ilman perustelua ei anna käyttökelpoista vastausta.

Se voidaan jäljittää artiklan 21 kohdan 2 perusteella, ei erillisen etätyönormin perusteella

NIS2:ssa ei ole erillistä artiklaa etätyöstä. Direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 kymmenen toimenpidettä mainitsevat pääsynvalvontakäytännön ja yrityksen omaisuuden hallinnan (kohta i) sekä monivaiheisen todennuksen tai jatkuvan todennuksen käytön (kohta j) erillisinä kategorioina — etätyö on niiden soveltaminen, ei oma kategoria. ISO 27001 -toteutuksessa tämä sisältyy Annex A -toimenpiteisiin pääsynsuojaukselle ja laitteille yrityksen tilojen ulkopuolella. Kun asiakas siis kysyy "suojatuista etätyöpaikoista", vastaus on käytännössä leikkaus laajemmasta pääsynvalvontakäytännöstäsi, ja siellä sinä etsit myös todistusdokumenttia.