hogyan válaszoljam meg a kérdést a távmunka biztonsága védelméről

A távmunka a hozzáférési szabályzat és az MFA hatálya alá tartozik, nem egy különálló pont alatt

A távmunkára vonatkozó kérdés rendszerint nem önálló téma, hanem a NIS2 21. cikk 2. bekezdés tíz intézkedése közül kettő kidolgozása: a hozzáférési szabályzat (i. pont) és a többfaktoros hitelesítés vagy azzal egyenértékű biztonságos kapcsolatok használata (j. pont). Ne töltse ki tehát önállóan, hanem összhangban azzal, amit már válaszolt a hozzáférési szabályzat és az üzleti eszközök kezelése és itt a többfaktoros hitelesítésről szóló kérdésrenézve. Ha a válasz nem egyezik azzal, amit itt mond, akkor ezt észleli először egy értékelő.

Konkrétan az ügyfél általában azt szeretné tudni: a munkatársak VPN-en vagy zero-trust-kapcsolaton keresztül jelentkeznek-e be, az MFA kötelező-e ezen a kapcsolaton, van-e eszközpolitika a magán- és munkalaptopoknál, és van-e alapszabály a nyilvános wifi-ről. Ha ennek nincs külön szabályzati dokumentuma, de egy tágabb ICT-szabályzat egyik fejezete, az megfelelő bizonyíték – idézze azt a részt, ne az egész dokumentumot. Ha a négy pont egyike hiányzik, ne automatikusan azt válaszolja, hogy "nem": jelezze, hogy mi van meg (például MFA igen, eszközpolitika nem), és hagyja, hogy az ügyfél maga értékelje a további kérdést. Ha egyikből sincs, akkor az "nem, még nincs formalizálva" gyakorlatilag helyesebb, mint egy olyan félig "igen", amelyet nem tud alátámasztani.

Honnan ez származik: 21. cikk 2. bekezdés, i) és j) pontok

A NIS2 21. cikk 2. bekezdése az i) pont alatt a "kriptográfia használatára vonatkozó politikákat és eljárásokat" említi — nem, ez a h) pont; az i) pont a személyzet biztonságára, a hozzáférési politikára és az eszközkezelésre vonatkozik, a j) pont pedig kifejezetten a többtényezős hitelesítési vagy folyamatos hitelesítési megoldások, a titkosított kommunikáció és az entitáson belüli biztonságos szükségkommunikáció használatára. Az ISO/IEC 27001 Melléklet A ezt a távmunkára és a hálózati hozzáférésre vonatkozó kontrollok alatt részletesebben kidolgozza. A kiberbiztonsági törvény ezt a besorolást változatlanul átveszi, amikor 2026. augusztus 15-én hatályba lép, tehát egy olyan válasz, amely most már ezen a két ponton igazodik, az adott dátum után is használható marad.