klijent pita kako reguliramo pristup vanjskim dobavljačima ili slobodnjacima

Pristup trećih strana spada pod politiku pristupa, a ne pod upravljanje lancem opskrbe

Ovo pitanje spada pod politiku pristupa poduzeća, a ne pod pitanja o samim dobavljačima. Klijent želi znati kako sprječavaš da freelancer ili vanjska stranka dobiju veća prava nego što je potrebno, i kako opozivaš taj pristup čim je posao gotov. Napravi to razliku i sam: pitanje o sigurnosnim zahtjevima koje postavljaš vanjskim stranama tiče se upravljanja lancem opskrbe, pitanje o tome kako te strane same logiraju u tvoje sustave tiče se pristupa. Upitnici često miješaju ovo, ali radi se o dvije različite mjere iz članka 21. stavka 2. NIS2 i dva različita poglavlja Aneksa A u ISO 27001.

Što se konkretno pita: imaš li proces za dodjelu, izmjenu i opozivanje pristupa (onboarding i offboarding), radiš li s privremenim ili isteklim računima za vanjske osobe, i vrijedi li princip najmanje povlastice — pristup samo onome što je potrebno, a ne cijeloj mreži. Ako vanjske osobe dobivaju udaljeni pristup, često se pita i je li autentifikacija s više čimbenika obavezna. Ako nemaš posebnu politiku za vanjske strane, već se oslanjаš na opće upravljanje pristupom u kojem se ne razlikuje između vlastitih zaposlenika i trećih strana, tada je "ne" iskreit odgovor — zajedničke lozinke ili trajno aktivni račun nakon završetka posla ne računaju se kao kontrolirani pristup.

Gdje je to navedeno u Direktivi i normi

Članak 21. stavak 2. NIS2 navodi politiku kontrole pristupa i sigurnost osoblja kao dvije od deset obveznih mjera; ISO 27001 to razrađuje u Aneksu A pod kontrolom pristupa, s posebnom pažnjom na pristup trećih strana i opozivanje istoga na kraju ugovora.