asiakas kysyy, kuinka suojaamme etätyötä, mitä vastaan

Etätyö kuuluu pääsynhallintaan, ei omaksi toimenpiteeksi

Artiklan 21 kohdan 2 NIS2-direktiivin tai ISO 27001:n liitteen A kohdassa ei ole erillistä "etätyö"-kohtaa. Käytännössä kysymykseen vastataan yhdistelmällä: pääsynhallinta ja yrityksen omaisuuden hallinta, monivaiheinen todennus ja mahdollisesti salaus tietojen osalta, jotka poistuvat yritysverkosta. Kun asiakkaasi kysyy "miten turvaatte etätyöt", se on yleensä lyhennetty versio seuraavasta: miten sallit pääsyn yrityksen järjestelmiin kantoorin ulkopuolelta sijaitsevasta paikasta, ja millä laitteella.

Käytännössä arvioija etsii kolme asiaa. Ensinnäkin: onko pääsy järjestelmiin ja tietoihin kotoa sidottu hallittuun tiliin, jolla pääsynhallintaan ja yritysvarojen hallintaan asiakirjana. Toiseksi: vaaditaanko kyseiseen pääsyyn monivaiheista todennusta — ilman monivaiheista todennusta "kyllä, suojattu" ei yleensä ole kestävä vastaus, katso monivaiheinen todennus yrityksen järjestelmille. Kolmanneksi: onko laitteella tai yhteydellä salaus (VPN, levyn salaus), jos arkaluontoisia tietoja tallennetaan paikallisesti. Jos sinulla ei ole monivaiheista todennusta tai VPN-vaatimusta, vastaa "ei" tai "osittain" — ehdotettu "kyllä" ilman taustalla olevia käytäntöjä ei ole todiste, se on arvaus, ja tuo arvaus tulee takaisin auditoinnissa.

Todiste on johtamispolitiikan asiakirja, ei kuvakaappaus

Yleensä vaadittu todiste on pääsyhallintopolitiikka itse (jossa on osio ulkomailla työskentelystä tai etäkäytöstä) sekä viennetyöntekijä-palvelun vienti, joka osoittaa monivaiheisen todennuksen pakottamisen. Yhden kannettavan tietokoneen kuvakaappaus ei ole todiste prosessista. Kybertietoturvallisuuslain — hollantilaisen täytäntöönpanon, joka astuu voimaan 15. elokuuta 2026 — mukaisesti sama vaatimus tulee takaisin NIS2:n artiklan 21 kohdan 2 kymmenen toimenpiteen kautta; jolla on jo pääsynhallinta ja monivaiheinen todennus kunnossa, sillä on jo etulyöntiasema tälle velvoitteelle. Tämä on muutoin erillään kysymyksestä, onko oma organisaationi itse direktiivin entiteetti NIS2:n tai kansallisen täytäntöönpanon mukaan — se määrittää, onko sinun pakko, ei sen, mitä täytät tähän.