klijen pita koji dobavljači imaju pristup našim sustavima

Ovo pitanje kombinira sigurnost lanca i upravljanje pristupom

Klijent zapravo želi ovdje znati dvije stvari istovremeno: koji dobavljači tehnički imaju pristup sustavima, i je li ta politika pristupa pod kontrolom. To je direktno relevantno politika pristupa uključujući upravljanje poslovnim sredstvima — tu se navodi tko smije što, i s kojim pravima. Dobavljač koji se daljinski prijavi na sustav, pruža daljinsku podršku ili obrađuje podatke u vlastitoj aplikaciji, spada pod ovaj odgovor.

Ne radi se samo o IT-dobavljačima u klasičnom smislu. Računovodstveni ured s uvidом u financijski sustav, hosting usluga, SaaS-alat u kojem se nalaze podaci klijenta: to su sve vanjski subjekti s pristupom. Jesu li u pitanju i zahtjevi koje samo poduzeće postavlja tim dobavljačima — ugovorni, tehnički, s obzirom na pravo revizije — ovisi o formulaciji u listi pitanja. Često je to zaseban problem koji se nadovezuje na zahtjeve sigurnosti koje poduzeće postavlja svojim dobavljačima. Bez aktualnog pregleda vanjske dostupe — popisa dobavljača s vrstom pristupa po subjektu — ne postoji izvorni dokument na kojem bi se temeljio ovaj odgovor, i tada odgovor nije moguće popuniti.

Gdje se to nalazi u deset mjera

Politika pristupa i sigurnost lanca dvije su odvojene mjere unutar deset mjera iz članka 21. stavka 2. Direktive NIS2: sigurnost lanca je u točki d, kontrola pristupa i upravljanje poslovnim sredstvima u točki i. ISO/IEC 27001 to dijeli na sličan način u Prilogu A, s odvojenim mjerama kontrole za odnose s dobavljačima i upravljanje pristupom. Tko ovo pitanje dobije iz Zakona o kibernetskoj sigurnosti, hrvatske implementacije NIS2, može očekivati da se oba pristupa — tko ima pristup, i je li to kontrolirano — pojave odvojeno na listi.