kyselylomake haluaa tietää, kuinka säännöstelemme pääsyä järjestelmiin, mitä vastaan

Pääsynvalvonta käsittelee valtuutusta, todentamista ja lokitusta

Tämä kysymys kuuluu pääsynvalvontakäytäntöjen piiriin, ja useimmat kyselyt jakavat sen kolmeen osaan: miten pääsy myönnetään ja peruutetaan (valtuutus), miten käyttäjän henkilöllisyys tarkistetaan (todennus), ja kirjataanko, kuka on käyttänyt mitä järjestelmää milloin (lokitus). Täydellinen vastaus sisältää kaikki kolme. Valtuutuksen osalta tavallinen vastaus on, että pääsy myönnetään tehtävän tai roolin perusteella, että oikeuksia tarkastellaan uudelleen tehtävän muuttuessa tai työsuhteen päättyessä, ja että avoimet tilit tarkistetaan säännöllisesti. Jos prosessia ei ole vakiintunut, mutta pääsy myönnetään silti manuaalisesti ja rajoitetusti, realistinen vastaus on "osittain" lyhyen selityksen kera, ei "kyllä".

Todennuksesta kysytään usein erikseen, onko monitekijätodennus käytössä pääsynvalvontaan yrityksen järjestelmiin — se on itsenäinen vastaus, vaikka pääsynvalvontakäytäntö olisi muuten kunnossa. Lokituksen osalta todistusaineisto on yleensä identiteetti- ja pääsynhallintajärjestelmästä viety raportti tai kuvakaappaus roolitusta; käytäntödokumentti ilman taustalla olevaa järjestelmää harvoin vakuuttaa. Jos tämä todiste puuttuu, "ei, ei vielä formalisoitu" on kestävä vastaus — riskit ovat "kyllä" ilman siihen liittyvää todistetta.

Jäljitettävissä artiklan 21 kappaleen 2 ja liitteen A mukaisesti

Pääsynvalvonta mainitaan erillisessä toimenpiteenä artiklan 21 kappaleen 2 NIS2-direktiivissä rinnakkain laajemman vaatimuksen kanssa, että pääsynvalvontakäytäntö mukaan lukien yritysvarat hallitaan on dokumentoitu. ISO/IEC 27001 -standardissa sama vaatimus löytyy liitteestä A pääsynvalvontaa koskevia hallintotoimenpiteitä koskevasta osasta; jos olet jo sertifioitu tähän aiheeseen, voit esittää sertifikaatin todistusaineistona erillisten dokumenttien keräämisen sijaan.