Onko pääsykäytäntö dokumentoitu, mukaan lukien liiketoiminnan omaisuuden hallinta?

Pääsynhallintakäytäntö ja omaisuuden hallinta ovat kaksi erillistä toimenpidettä

Tämä kysymys sekoittaa usein kaksi asiaa: pääsynhallintakäytäntö (kuka saa käyttää mitäkin järjestelmää ja tietoja) ja omaisuuden hallinta, joka tunnetaan myös nimellä asset management (tietää, mitä laitteita, järjestelmiä ja tietovälineitä sinulla on, ja kuka niistä vastaa). NIS2-direktiivin 21 artiklan 2 kohdassa nämä ovat kaksi kymmenestä pakollisesta toimenpiteestä rinnakkain, mutta ne eivät ole synonyymeja. Asiakas, joka esittää tämän yhtenä kysymyksenä, haluaa yleensä tietää, oletko hoitanut molemmat kuntoon, ei sitä, ovatko ne sama asia.

Pääsynhallintakäytännölle on merkityksellistä, onko olemassa menettely oikeuksien myöntämiselle ja peruuttamiselle, onko se sidottu tehtäviin, ja onko monivaiheinen tunnistautuminen käytössä kriittisissä järjestelmissä. Omaisuuden hallinnassa on kyse ajantasaisesta luettelosta laitteistoista, ohjelmistoista ja tietovälineistä, mukaan lukien kunkin omaisuuden omistaja ja mitä tapahtuu poistamisen tai laitteiden vaihtamisen yhteydessä. Jos sinulla ei ole muodollisesti dokumentoitua käytäntöä mutta hyvin toimivaa käytäntöä — esimerkiksi kattava käyttäjäluettelo IAM-järjestelmässä ilman siihen liittyvää käytäntödokumenttia — "ei" tähän kysymykseen on usein tosiasiassa oikeampi kuin ennenaikainen "kyllä". Dokumentin puuttuminen eroaa itse toimenpiteen puuttumisesta, ja juuri tämä ero on syy siihen, miksi tämä vastaus pysyy usein "vielä määritettävänä", kunnes tiedät, mitä todistetta asiakas odottaa: käytäntödokumenttia, kuvakaappausta oikeuksien rakenteesta tai lausunnon.

Mistä tämä löytyy: Direktiivin 21 artiklan 2 kohta NIS2

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa pääsynhallintakäytäntö ja omaisuuden hallinta mainitaan kymmenen pakollisen toimenpiteen erillisinä osina muiden muassa riskianalyysi ja salausperiaatteidenrinnalla. Direktiivi ei määrää kiinteää muotoa: miten yritys tämän dokumentoi ja osoittaa, jää yrityksen ja sitä vaativan asiakkaan omille kannettavaksi sen suhteen, mitä todistetta asiakas hyväksyy omassa portaalissaan.