vogliono sapere come proteggiamo il lavoro da remoto

La sicurezza del lavoro da casa rientra nella gestione degli accessi e nell'MFA

La domanda sui posti di lavoro da casa generalmente non è un tema separato, ma un'elaborazione di due misure più ampie dell'articolo 21 paragrafo 2 della direttiva NIS2: la politica di accesso (sotto la lettera e, "politica e procedure relative all'uso della crittografia" talvolta rientra anche nella domanda relativa alla crittografia VPN) e l'autenticazione (sotto la lettera j, autenticazione a più fattori e comunicazione protetta). I clienti vogliono sapere in concreto se un posto di lavoro da casa è protetto altrettanto bene di un posto di lavoro in ufficio: è obbligatorio un VPN o un accesso zero-trust, l'MFA è attivato per tutte le connessioni esterne, e c'è una politica su quali dispositivi (laptop aziendale rispetto a telefono privato) possono ottenere l'accesso.

Se non l'hai documentato esplicitamente, la risposta più onesta è "no" con una spiegazione: ad esempio che l'accesso ai sistemi aziendali passa comunque attraverso l'MFA, indipendentemente dalla ubicazione del dipendente. Questo è spesso più forte di un "sì" parzialmente compilato su una politica di lavoro da casa che non esiste. Verifica innanzitutto se autenticazione a più fattori per i sistemi aziendali è già stato documentato — se questa risposta è "sì", copre già gran parte di questa domanda, perché la maggior parte dei clienti chiede informazioni sul lavoro da casa proprio per verificare se l'accesso è ben regolamentato indipendentemente dalla ubicazione. Se mancano sia la politica VPN che l'MFA, la risposta "no" è ovvia, eventualmente con una spiegazione su ciò che esiste effettivamente (ad esempio solo una politica delle password).

Dove questo entra più nel concreto in Annex A di ISO 27001

ISO/IEC 27001 Annex A lo elabora ulteriormente secondo le misure di controllo per il "lavoro da remoto" e la gestione degli accessi, e molti questionari di banche e grandi clienti si basano direttamente su questa classificazione di Annex A — ecco perché la domanda si presenta spesso al di fuori dei dieci della direttiva NIS2. Il fatto che un'organizzazione possa fornire una risposta strutturata su questo punto dipende anche da se ricade sotto la Cybersecurity Act; se non è così, una risposta pragmatica sulla situazione esistente è sufficiente. Se sei incerto sul fatto che l'organizzazione vi rientri, consulta se l'organizzazione rientra nella direttiva NIS2 o nel suo recepimento nazionale — questo determina quanto importante deve essere questa risposta nell'immagine complessiva dell'elenco.