Je li politika pristupa dokumentirana, uključujući upravljanje poslovnom imovinom?

Politika pristupa i upravljanje sredstvima su dvije odvojene mjere

Ovo pitanje često spaja dvije stvari: politika pristupa (tko smije pristupiti kojem sustavu i kojim podatcima) i upravljanje poslovnim sredstvima, poznato i kao upravljanje sredstvima (znati koja ste sredstva, sustavi i mediji za pohranu informacija dostupni, i tko je odgovoran za to). U članku 21(2) Direktive NIS2 ova dva su pitanja dva od deset obaveznih mjera pored sebe, ali nisu sinonima. Kupac koji ovo postavlja kao jedno pitanje obično želi znati jesu li oba u redu, ne jesu li ista.

Za politiku pristupa relevantno je je li postoji postupak za dodjelu i opoziv prava, je li to povezano s funkcijama, i je li autentifikacija s više čimbenika korištena za kritične sustave. Za upravljanje sredstvima radi se o važećem pregledu hardvera, softvera i medija za pohranu informacija, uključujući tko je vlasnik svakog sredstva i što se događa pri povlačenju ili zamjeni opreme. Ako nemate formalno utvrđenu politiku ali imate radnu praksu — primjerice popis korisnika koji je nepromijenljiv u IAM sustavu, bez da je priložen dokument politike — tada je "ne" na ovo pitanje često faktički točnije nego preuranjeni "da". Nedostatak dokumenta razlikuje se od nedostatka same mjere, i upravo to razlikovanje je razlog zašto ovaj odgovor obično ostaje "još je potrebno odrediti" dok ne znate koji je dokument dokaza kupac očekuje: politički dokument, snimak strukture prava, ili izjava.

Gdje se ovo nalazi: članak 21(2) NIS2

Članak 21(2) Direktive (EU) 2022/2555 spominje politiku kontrole pristupa i upravljanje sredstvima kao odvojene dijelove među deset obaveznih mjera, zajedno s drugim mjerama poput analize rizika i politike enkripcije. Sama direktiva ne propisuje fiksni oblik: kako će se poduzeće ovo zabilježiti i dokazati, na samom je poduzeću i na onome što kupac koji postavlja pitanje prihvati kao dokaz u svom vlastitom portalu.