il cliente chiede come gestiamo l'accesso per fornitori esterni o freelancer

L'accesso per terzi rientra nella politica di accesso, non nella gestione della catena di fornitura

Questa domanda riguarda la politica di accesso dell'azienda, non le domande sui fornitori stessi. Il cliente vuole sapere come eviti che un freelancer o una parte esterna ottenga più diritti del necessario e come revochi l'accesso una volta completato il lavoro. Fai tu stesso questa distinzione: una domanda sui requisiti di sicurezza che imponi alle parti esterne riguarda la gestione della catena di fornitura, una domanda su come queste parti stesse effettuano l'accesso ai tuoi sistemi riguarda l'accesso. I questionari spesso mescolano questi concetti, ma sono due misure diverse dall'articolo 21, comma 2 NIS2 e due capitoli diversi dell'Allegato A in ISO 27001.

In concreto ciò che viene chiesto è: hai un processo per concedere, modificare e revocare l'accesso (onboarding e offboarding), utilizzi account temporanei o scaduti per soggetti esterni e si applica il principio del privilegio minimo — accesso solo a ciò che è necessario, non all'intera rete. Se soggetti esterni ricevono accesso in remoto, spesso viene chiesto anche se autenticazione multifattore è obbligatorio. Se non hai una politica separata per le parti esterne, ma ricadi sulla gestione dell'accesso generale in cui non viene fatta distinzione tra dipendenti propri e terzi, allora "no" è la risposta onesta — una password condivisa o un account che rimane attivo dopo il completamento di un incarico non conta come accesso controllato.

Dove si trova nella direttiva e nella norma

L'articolo 21, comma 2 NIS2 menziona la politica di controllo dell'accesso e la sicurezza del personale come due delle dieci misure obbligatorie; ISO 27001 sviluppa questo nell'Allegato A nel controllo dell'accesso, con particolare attenzione all'accesso da parte di terzi e alla sua revoca al termine del contratto.