tudni szeretnék, hogyan biztosítjuk a távmunkát

A távmunka biztonsága az hozzáférés-vezérlés és az MFA hatálya alá tartozik

A távmunkahelyek iránti kereslet általában nem külön téma, hanem a NIS2 21. cikkének 2. bekezdéséből fakadó két tágabb intézkedés kidolgozása: a hozzáférési politika (az e. pont alatt az "a kriptográfia felhasználásáról szóló politikák és eljárások" néha VPN-titkosításra vonatkozó kérdésként is megjelenik) és a hitelesítés (a j. pont alatt a többtényezős hitelesítés és a biztonságos kommunikáció). Az ügyfelek konkrétan azt szeretnék megtudni, hogy a távmunkahelyek ugyanolyan jól vannak-e védve, mint egy irodai hely: kötelező-e a VPN vagy a zérus megbízhatóság alapú hozzáférés, be van-e kapcsolva az MFA az összes külső kapcsolathoz, és van-e politika arra vonatkozóan, hogy mely eszközök (vállalati laptop versus privát telefon) kaphatnak hozzáférést.

Ha ezt nem rögzítetted explicit módon, akkor a legőszintébb válasz az "nem" megfelelő indoklással: például azzal, hogy a vállalati rendszerekhez való hozzáférés úgyis az MFA-n keresztül történik, függetlenül az alkalmazott helyétől. Ez gyakran erősebb, mint egy félig kitöltött "igen" egy olyan távmunkapolitikáról, amely nem létezik. Először ellenőrizd, hogy többtényezős hitelesítés vállalati rendszerekhez már rögzült-e — ha erre a válasz "igen", az már nagy részben lefedi ezt a kérdést, mert a legtöbb ügyfél éppen azért kérdez a távmunkáról, hogy ellenőrizze, hogy a hozzáférés helyétől függetlenül jól van-e rendezve. Ha hiányzik a VPN-politika és az MFA is, akkor a "nem" válasz adódik, adott esetben egy magyarázattal arról, hogy mi létezik (például csak egy jelszavakra vonatkozó politika).

Ahol ez az ISO 27001 A mellékletében konkrétabbá válik

Az ISO/IEC 27001 A melléklete ezt tovább fejti ki a "távmunka" és a hozzáférés-vezérlés felügyeleti intézkedéseinél, és sok banki és nagy megrendelői kérdőív közvetlenül erre az A melléklet szerkezetére épül — ezért fordulhat elő, hogy a kérdés a NIS2-es listától függetlenül jelenik meg. Az, hogy egy vállalkozás itt valamit strukturált módon mondhat-e el, attól is függ, hogy maga a Cyberbevédelmi törvény hatálya alá tartozik-e; ha nem, akkor egy pragmatikus válasz a meglévő helyzetről elegendő. Ha bizonytalan vagy abban, hogy a vállalkozás alá tartozik-e, akkor nézd meg a vagy a vállalkozás a NIS2 vagy annak nemzeti átültetése hatálya alá tartozik-e — ez határozza meg, hogy mekkora súlyt kell ennek a válasznak kapnia a lista teljes képében.