il questionario chiede come proteggiamo il lavoro da remoto e l'accesso da remoto

L'accesso remoto rientra nella politica di accesso e nell'autenticazione a più fattori

La domanda sul lavoro da casa e l'accesso remoto è solitamente una combinazione di due delle dieci misure dell'articolo 21 paragrafo 2 della direttiva NIS2: punto (i), politica di accesso e gestione delle risorse aziendali, e punto (j), l'uso dell'autenticazione a più fattori. I clienti che pongono questa domanda separatamente vogliono sapere come un dipendente da una rete privata o da un proprio computer portatile accede ai sistemi aziendali e quali barriere sono presenti. Una sola connessione VPN non è una risposta a questa domanda — si tratta della combinazione di connessione cifrata, autenticazione e gestione dei dispositivi.

Le prove concrete di solito consistono in tre componenti: una configurazione VPN o zero-trust con crittografia, un obbligo di autenticazione a più fattori che vale anche per l'accesso esterno (non solo per la rete aziendale), e un inventario dei dispositivi autorizzati ad accedere — privati o aziendali. Se è in uso una soluzione di Mobile Device Management, questo è una prova robusta. Se questo manca, spesso la risposta è "no" per la parte relativa alla gestione dei dispositivi, anche se l'autenticazione a più fattori è configurata. Compila allora separatamente per ciascun aspetto ciò che è e non è regolamentato, invece di un unico "sì" o "no" riassuntivo — questo evita un ingiustificato "no" a una domanda che in realtà è per metà corretta. Se la crittografia del traffico stesso è oggetto della domanda, allora rientra più in la política sulla crittografia e la cifratura che nell'accesso. Se dubiti di quale casella rientra esattamente, verifica anche se la domanda verte effettivamente su la politica di accesso inclusa la gestione dei beni aziendali — spesso infatti si tratta di due sottoquesiti distinti imballati in una riga.

Dove si trova: articolo 21 paragrafo 2, punti i e j

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 cita la politica di accesso e la gestione delle risorse aziendali come punto (i) e l'uso dell'autenticazione a più fattori o dell'autenticazione continua come punto (j), insieme alla crittografia come punto (h). ISO/IEC 27001 Allegato A sviluppa ulteriormente questo nelle misure di controllo sulla sicurezza dell'accesso e sulle apparecchiature al di fuori dei locali aziendali. La Legge sulla Cibersicurezza adotta questa struttura quando entrerà in vigore dopo il 15 agosto 2026, quindi la struttura della domanda non cambia — cambia invece chi è obbligato a rispondere.