a kérdőív arra kérdez, mi az a mobileszközökre és laptopokra vonatkozó szabályzatunk

A mobil eszközökre vonatkozó irányelvek az eszközkezeléshez és a hozzáféréshez tartoznak

Ez a kérdés az NIS2-irányelv 21. cikk (2) bekezdésének d) és i) pontjára vonatkozik: beszerzés, fejlesztés és karbantartás során alkalmazott biztonsági intézkedések, valamint a hozzáférés-kezelésre vonatkozó politika, beleértve az üzleti eszközöket. A laptopok és telefonok "eszközök" — üzleti eszközök, amelyeken üzleti adatok találhatók, vagy amelyeken keresztül hozzáférés létezik a rendszerekhez. Az ügyfél tehát azt szeretné tudni, hogy van-e egy írásban rögzített politika, amely szabályozza: ki használhat melyik eszközt, hogyan van titkosítva, mi történik veszteség vagy lopás esetén, és megengedett-e a magáncélú használat üzleti eszközökön (vagy fordítva, BYOD), és ha igen, milyen feltételek mellett.

Ha nincs külön "mobileszköz-szabályzat" dokumentum, az nem feltétlenül probléma — nézze meg, hogy az alapvető tartalma már szerepel-e valahol: a hozzáférési szabályzatban, beleértve a vállalati eszközöket, egy ISO 27001-nyilatkozatban az A. mellékletben (az eszközkezelés és a mobileszköz-szabályzat ott intézkedésként szerepel), vagy egy IT-kézikönyvben. Ha teljesen hiányzik, akkor az "nem" a becsületes válasz — az írásos szabályzat más, mint az írott rögzítés nélküli gyakorlat. Az eszközök titkosítása szintén ide tartozik; ez átfedi a következő kérdést: titkosítás és kódolás, és hasznos tudni, hogy milyen válasz már adódott erre, hogy a kettő ne legyen ellentmondásos.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

A NIS2-irányelv 21. cikkének 2. szakasza az i) pontban a "munkavédelmi biztonság, hozzáférési politika és vagyonkezelés" egyik tíz kötelező intézkedésként említi; a mobil eszközök az utóbbit képezik. Az ISO/IEC 27001 ezt az Annex A-ban részletezi, a "mobile devices" (mobil eszközök) és az "asset management" (vagyonkezelés) vonatkozó ellenőrzési intézkedéseivel — egy ISO 27001-tanúsítvánnyal rendelkező szervezet ezt általában már dokumentálta. A Cyberbiztonsági törvény ezt a kötelezettséget az európai jogba ülteti át, és 2026. augusztus 15-én lép hatályba; addig az irányelv maga az irányadó pont, nem a nemzeti törvény.