a kérdőív az alkalmazottak mobil eszközeire és laptopjaira vonatkozó irányelvekre kérdez rá

A mobil eszközökre vonatkozó szabályzat a hozzáférés-védelme és az üzleti eszközök alá tartozik

Ez a kérdés a NIS2 21. cikk (2) bekezdés i) pontjához kapcsolódik: a hozzáférés-védelmi szabályzat, beleértve az üzleti eszközök kezelését ("asset management"). A telefonok és laptopok olyan üzleti eszközök, amelyek az irodai hálózaton kívül biztosítják az adatokhoz való hozzáférést, és az ügyfél tudni szeretné, hogy van-e ezekre kontroll. A gyakorlatban a kérdőív néhány meghatározott pontra vár választ: van-e leltár a kiadott eszközökről, kötelező-e a tárolás titkosítása, van-e minimális PIN-kód vagy biometrikus azonosítás követelménye, és lehet-e egy elveszett vagy ellopott eszközt távolról törölni (MDM — mobile device management). A BYOD (bring your own device, az alkalmazottak saját eszközei) is gyakran külön jelenik meg, mert más kockázatot jelent, mint a céges eszközök.

Ha ez a szabályzat még nem van írásban rögzítve, de a gyakorlat már rendben van — a titkosítás alapértelmezés szerint be van kapcsolva, a hozzáférés fiók-alapú — többfaktoros hitelesítés — akkor az "nem, még nincs rögzített szabályzat" a becsületes válasz, szükség esetén az aktuális intézkedésekre vonatkozó megjegyzéssel. Ne mondjon "igen"-t egy MDM-megoldásra vonatkozó kérdésre, ha az nem létezik; egy ügyfél, aki később rákérdez az eszközleltárra vagy az elvesztés esetén követendő eljárásra, akkor indoklás nélkül marad. Az eszköz elvesztése vagy ellopása egyébként szintén érinti biztonsági incidensek kezelésére vonatkozó eljárás—, ezért ennek a két válasznak összhangban kell lennie egymással.

Hol található ez: 21. cikk (2) bekezdés és A melléklet

A (EU) 2022/2555 irányelv 21. cikk (2) bekezdésének i) pontja a hozzáférés-védelmi és üzleti eszköz-kezelési szabályzatot az egyik kötelezően előírt tíz intézkedésként említi. Az ISO/IEC 27001 ezt az A mellékletben tovább fejti ki az "endpoint devices" és a mobil eszközök kezeléséről szóló kontrollintézkedések keretében; aki már ISO 27001-tanúsított, általában már dokumentálta ezt a részt. A holland Cyberbeveiligési törvény, amely a NIS2-t implementálja és 2026. augusztus 15-én lép hatályba, ugyanezt a tíz intézkedésre vonatkozó felosztást követi.