le client demande comment nous gérons l'accès pour les fournisseurs externes ou les pigistes

L'accès pour les tiers relève de la politique d'accès, non de la gestion de la chaîne

Cette question appartient à la politique d'accès de l'entreprise, non aux questions relatives aux fournisseurs eux-mêmes. Le client souhaite savoir comment vous évitez qu'un prestataire ou une partie externe obtienne plus de droits que nécessaire, et comment vous révoquez cet accès dès que le travail est terminé. Faites vous-même cette distinction : une question relative aux exigences de sécurité que vous imposez aux parties externes relève de la gestion de la chaîne, une question relative à la façon dont ces parties se connectent elles-mêmes à vos systèmes relève de l'accès. Les questionnaires mélangeant souvent ces deux aspects, il s'agit cependant de deux mesures différentes en vertu de l'article 21, paragraphe 2, de la directive NIS2 et de deux chapitres différents de l'Annexe A de la norme ISO 27001.

Concrètement, ce qui est demandé : disposez-vous d'un processus pour l'octroi, la modification et la révocation de l'accès (intégration et départ), utilisez-vous des comptes temporaires ou expirés pour les externes, et le principe du moindre privilège s'applique-t-il — accès uniquement à ce qui est nécessaire, non à l'ensemble du réseau. Lorsque les externes obtiennent un accès à distance, il est souvent également demandé si l'authentification multifacteur est obligatoire. Si vous n'avez pas de politique distincte pour les parties externes, mais si vous vous appuyez sur une gestion d'accès générale dans laquelle aucune distinction n'est faite entre vos propres collaborateurs et les tiers, alors « non » est la réponse honnête — un mot de passe partagé ou un compte restant actif après la fin d'une mission ne compte pas comme un accès maîtrisé.

Où cela figure dans la directive et la norme

L'article 21, paragraphe 2, de la directive NIS2 mentionne la politique de contrôle d'accès et la sécurité du personnel comme deux des dix mesures obligatoires ; la norme ISO 27001 développe cela dans l'Annexe A sous le contrôle d'accès, en accordant une attention particulière à l'accès par les tiers et à sa révocation à la fin du contrat.