La politique d'accès est-elle documentée, y compris la gestion des actifs de l'entreprise ?

La politique d'accès et la gestion des actifs informatiques sont deux mesures distinctes

Cette question mélange souvent deux aspects : la politique d'accès (qui a accès à quel système et à quelles données) et la gestion des actifs informatiques, également appelée asset management (savoir quels appareils, systèmes et supports d'information vous possédez, et qui en est responsable). À l'article 21, paragraphe 2, de la directive NIS2, ce sont deux des dix mesures obligatoires qui figurent côte à côte, mais ce ne sont pas des synonymes. Un client qui pose cette question en une seule phrase veut généralement savoir si vous maîtrisez les deux aspects, non s'ils sont identiques.

Pour la politique d'accès, il est pertinent de vérifier s'il existe une procédure pour l'attribution et le retrait des droits, si cela est lié aux fonctions, et si l'authentification multifacteur est utilisée pour les systèmes critiques. Pour la gestion des actifs informatiques, il s'agit d'avoir un inventaire à jour du matériel, des logiciels et des supports d'information, y compris qui est propriétaire de chaque actif et ce qui se passe lors du déclassement ou du remplacement d'équipements. Si vous n'avez pas de politique formellement documentée mais une pratique fonctionnelle — par exemple une liste d'utilisateurs complète dans un système IAM, sans qu'un document de politique ne l'accompagne — alors répondre « non » à cette question est souvent factuellement plus juste qu'une réponse précipitée par « oui ». L'absence d'un document est différente de l'absence de la mesure elle-même, et cette distinction est précisément la raison pour laquelle cette réponse reste souvent sur « à déterminer » jusqu'à ce que vous sachiez quel document probant le client attend : un document de politique, une capture d'écran de la structure des droits, ou une déclaration.

Où cela figure : article 21, paragraphe 2, NIS2

L'article 21, paragraphe 2, de la directive (UE) 2022/2555 mentionne la politique de contrôle d'accès et la gestion des actifs informatiques comme composantes distinctes dans les dix mesures obligatoires, aux côtés notamment de l'analyse des risques et et la politique de chiffrement. La directive elle-même ne prescrit pas de format fixe : c'est à l'entreprise de décider comment documenter et démontrer cela, ainsi qu'au client demandeur de définir ce qu'il accepte comme preuve dans son propre portail.