il cliente chiede quali fornitori hanno accesso ai nostri sistemi

Questa domanda combina la sicurezza della catena di fornitura e il controllo degli accessi

Il cliente vuole sapere effettivamente due cose contemporaneamente: quali fornitori hanno accesso tecnico ai sistemi e se la politica di accesso è sotto controllo. Questo è direttamente rilevante la politica di accesso incluso la gestione dei beni aziendali — lì è scritto chi può fare cosa e con quali diritti. Un fornitore che accede da remoto a un sistema, fornisce supporto remoto o elabora dati in un'applicazione propria, rientra in questa risposta.

Non si tratta solo di fornitori IT nel senso classico. Uno studio di contabilità con accesso al sistema finanziario, un provider di hosting, uno strumento SaaS in cui sono memorizzati dati clienti: questi sono tutti fornitori esterni con accesso. Se la domanda riguarda anche i requisiti che l'azienda stessa pone a quei fornitori — contrattuali, tecnici, relativi al diritto di audit — dipende dalla formulazione nel questionario. Spesso questa è una domanda separata che si collega a i requisiti di sicurezza che l'azienda pone ai propri fornitori. Senza una panoramica aggiornata dell'accesso esterno — una lista dei fornitori con il tipo di accesso per ciascuna parte — non c'è un documento di base su cui basare questa risposta, e allora la risposta non è ancora compilabile.

Dove questo figura nelle dieci misure

La politica di accesso e la sicurezza della catena di fornitura sono due misure separate all'interno delle dieci dell'articolo 21, paragrafo 2 della direttiva NIS2: la sicurezza della catena di fornitura figura al punto d, il controllo degli accessi e la gestione dei beni aziendali al punto i. ISO/IEC 27001 divide questo in modo comparabile nell'Annex A, con misure di controllo separate per le relazioni con i fornitori e per il controllo degli accessi. Chi riceve questa domanda dal Cybersecurity Act, l'attuazione olandese di NIS2, può aspettarsi che entrambi gli approcci — chi ha accesso e se è controllato — vengono affrontati separatamente nell'elenco.