La politica di accesso è documentata, compresa la gestione dei beni aziendali?

La politica di accesso e la gestione dei beni aziendali sono due misure separate

Questa domanda spesso combina due cose diverse: la politica di accesso (chi può accedere a quale sistema e a quali dati) e la gestione dei beni aziendali, anche detta asset management (conoscere quali dispositivi, sistemi e supporti informativi possiedi e chi è responsabile di ognuno). Nell'articolo 21, paragrafo 2 della direttiva NIS2 queste sono due delle dieci misure obbligatorie una accanto all'altra, ma non sono sinonimi. Un cliente che pone questa come unica domanda di solito vuole sapere se hai entrambe in ordine, non se sono la stessa cosa.

Per la politica di accesso è rilevante se esiste una procedura per l'attribuzione e la revoca dei diritti, se è collegata alle funzioni, e se autenticazione multifattore viene utilizzata per i sistemi critici. Per la gestione dei beni aziendali si tratta di un inventario aggiornato di hardware, software e supporti informativi, incluso chi è proprietario di ogni bene e cosa accade quando un dispositivo viene dismesso o sostituito. Se non hai una politica formalmente documentata ma hai una pratica funzionante — ad esempio un elenco di utenti coerente in un sistema IAM, senza che sia allegato un documento di politica — allora "no" a questa domanda è spesso più corretto di fatto rispetto a un prematura "sì". L'assenza di un documento è diversa dall'assenza della misura stessa, e proprio questa distinzione è il motivo per cui questa risposta di solito rimane su "da determinare" finché non sai quale prova il cliente si aspetta: un documento di politica, uno screenshot della struttura dei diritti, o una dichiarazione.

Dove si trova: articolo 21, paragrafo 2 NIS2

L'articolo 21, paragrafo 2 della Direttiva (UE) 2022/2555 elenca la politica di controllo degli accessi e la gestione dei beni come elementi separati tra le dieci misure obbligatorie, insieme ad esempio a analisi del rischio e politica di crittografia. La direttiva stessa non prescrive un formato fisso: come un'impresa documenta e dimostra questo è responsabilità dell'impresa e di ciò che il cliente che pone la domanda accetta come prova nel suo portale.