ügyfelem azt kérdezi, mely szállítók férnek hozzá a rendszereinkhez

Ez a kérdés a lánc biztonságát és a hozzáférés-kezelést kombinálja

Az ügyfél valójában két dologra szeretne egyszerre választ kapni: mely szállítók férnek technikai hozzáféréssel a rendszerekhez, és ez a hozzáférési irányelv kontrollálva van-e. Ez közvetlenül érinti ezt a hozzáférési irányelv, amely az üzleti eszközök kezelésével együtt értelmezendő — itt található meg, hogy ki mit tehet, és milyen jogokkal. Egy szállító, amely távolról jelentkezik be egy rendszerbe, távoli támogatást nyújt, vagy egy saját alkalmazásban adatokat dolgoz fel, ezalá tartozik.

Nem csak klasszikus informatikai szállítókról van szó. Egy könyvelőiroda, amely betekintéssel rendelkezik a pénzügyi rendszerbe, egy hosztingszolgáltató, egy szoftver-mint-szolgáltatás alkalmazás, amelyben ügyfél-adatok szerepelnek: ezek mind olyan külső felek, amelyeknek van hozzáférésük. Hogy a kérdés kiterjed-e arra is, hogy a vállalkozás milyen követelményeket támaszt ezekre a szállítókra — szerződésben, műszakilag, a naplózási jogok tekintetében — a kérdőív megfogalmazásától függ. Ez gyakran egy külön kérdés, amely kapcsolódik a vállalkozás által a saját szállítóitól elvárt biztonsági követelményekhez. A külső hozzáférés aktuális áttekintése nélkül — egy szállítólista, amely szállítónként feltünteti a hozzáférés típusát — nincs alapdokumentum, amelyre ez a válasz alapozható lenne, és akkor még nem lehet kitölteni a választ.

Ahol ez a tíz intézkedésben szerepel

A hozzáférési irányelv és a lánc biztonsága az 5. irányelv 21. cikk (2) bekezdésében említett tíz intézkedés közül két különálló intézkedés: a lánc biztonsága a d) pontban, a hozzáférés-kezelés és az üzleti eszközök kezelése az i) pontban szerepel. Az ISO/IEC 27001 hasonló módon tagol az A mellékletben, külön kezelési intézkedésekkel a szállítói kapcsolatok és a hozzáférés-kezelés kezelésére. Aki ezt a kérdést a Kiberbiztonsági törvénytől kapja, amely az NIS2 holland átültetése, számíthat arra, hogy mindkét megközelítés — ki férhet hozzá, és ez kontrollálva van-e — külön-külön fog megjelenni a kérdőívben.