hogyan válaszoljak a VPN-re és a biztonságos távelérésre vonatkozó kérdésre

A kérdés túlmegy az egyszerű VPN-en

A VPN egyetlen technika, de maga a kérdés a távoli hozzáférés-védelemről szól általánosságban. Ez a NIS2-irányelv 21. cikk 2. bekezdésének (i) pontja alá tartozik: személyzet biztonsága, hozzáférési politika és eszközkezelés. Az olyan ügyfél, aki a "biztonságos távoli hozzáférésről" kérdez, általában azt szeretné tudni, hogy van-e VPN vagy hasonló titkosított kapcsolat, szükséges-e a többfaktoros hitelesítés, és korlátozzák-e a hozzáférést arra, amire valakinek a munkakörében szüksége van. Ezért ne csak azt válaszolj, hogy "igen, VPN-t használunk" — add hozzá, hogy ez kötelező-e az összes külső hozzáféréshez, és van-e időkorlát vagy automatikus kijelentkezés.

Ha nincs VPN-ed, de más mechanizmusa van — zero-trust megoldás, tanúsítvánnyal hitelesített átjáró, helyi hálózat nélküli felhőkörnyezet — akkor a szó szerinti VPN-kérdésre adott "nem" válasz nem hibás, hanem hiányos. Ebben az esetben írja le, hogy valójában mit használ, mert az ügyfél portálja valójában a célt (titkosított, ellenőrzött hozzáférés) kérdezi, nem az adott terméket. Ha a többfaktoros hitelesítés hiányzik a távoli hozzáférésből, az gyakran külön kérdésként jelenik meg a listában, lásd a többfaktoros hitelesítést használnak-e az üzleti rendszerekhez való hozzáféréshez. Ha nincs dokumentálva, hogy ki férhet hozzá távolról és milyen jogokkal, az szintén érinti a tágabb hozzáférési politika kérdését, lásd rögzítve van-e a hozzáférési szabályzat, beleértve az üzleti eszközök kezelését.

Ahol ez az irányelvben és a normában szerepel

Az (EU) 2022/2555 irányelv 21. cikk 2. bekezdésének (i) pontja a személyzet biztonsága, hozzáférési politika és eszközkezelés tekintetében nevesítette az egyik tíz kötelező intézkedésként; a távoli hozzáférés alá tartozik. Az ISO/IEC 27001 Annex A ezt a hozzáférés-védelemre és hálózatbiztonsággal kapcsolatos konkrét ellenőrzési intézkedésekkel részletesebben kidolgozza, ahol a VPN-használat tipikusan dokumentálva van. A Cyberbeveiligingswet, a NIS2 holland átültetése 2026. augusztus 15-én lép hatályba, és ugyanezeket a tíz intézkedést írja elő az alá tartozó szervezetek számára.