ο πελάτης ρωτά πώς ρυθμίζουμε την πρόσβαση για εξωτερικούς προμηθευτές ή freelancers

Η πρόσβαση τρίτων εμπίπτει στην πολιτική πρόσβασης, όχι στη διαχείριση της αλυσίδας

Αυτή η ερώτηση ανήκει στο την πολιτική πρόσβασης της επιχείρησης, όχι στις ερωτήσεις σχετικά με τους ίδιους τους προμηθευτές. Ο πελάτης θέλει να γνωρίζει πώς αποτρέπεις ότι ένας ελεύθερος επαγγελματίας ή εξωτερικό μέρος δεν λαμβάνει περισσότερα δικαιώματα από όσα απαιτείται, και πώς ανακαλείς αυτή την πρόσβαση μόλις ολοκληρωθεί η εργασία. Κάντε αυτή τη διάκριση και σεις: μια ερώτηση σχετικά με τις απαιτήσεις ασφαλείας που θέτεις σε εξωτερικά μέρη αφορά διαχείριση της αλυσίδας, μια ερώτηση σχετικά με το πώς αυτά τα μέρη συνδέονται στα συστήματά σας αφορά την πρόσβαση. Τα ερωτηματολόγια συχνά συγχέουν αυτά, αλλά είναι δύο διαφορετικά μέτρα από το άρθρο 21 παράγραφος 2 NIS2 και δύο διαφορετικά κεφάλαια Annex A στο ISO 27001.

Αυτό που ζητείται συγκεκριμένα: έχεις μια διαδικασία για την αποδοχή, τροποποίηση και ανάκληση της πρόσβασης (onboarding και offboarding), εργάζεσαι με προσωρινούς ή λήξαντες λογαριασμούς για εξωτερικά μέρη, και ισχύει η αρχή του ελάχιστου προνομίου — πρόσβαση μόνο σε αυτά που είναι απαραίτητα, όχι σε ολόκληρο το δίκτυο. Εάν τα εξωτερικά μέρη λαμβάνουν πρόσβαση εξ αποστάσεως, συχνά ρωτάται επίσης εάν η πολυπλέκτορη ταυτοποίηση είναι υποχρεωτικό. Εάν δεν έχεις ξεχωριστή πολιτική για εξωτερικά μέρη, αλλά καταφεύγεις σε γενική διαχείριση πρόσβασης στην οποία δεν γίνεται διάκριση μεταξύ δικών σας υπαλλήλων και τρίτων, τότε το «όχι» είναι η ειλικρινής απάντηση — ένα κοινόχρηστο κωδικό πρόσβασης ή ένας λογαριασμός που παραμένει ενεργός μετά την ολοκλήρωση μιας εργασίας δεν υπολογίζεται ως ελεγχόμενη πρόσβαση.

Όπου αυτό υπάρχει στην κατευθυντήρια γραμμή και το πρότυπο

Το άρθρο 21 παράγραφος 2 NIS2 αναφέρει την πολιτική ελέγχου πρόσβασης και την ασφάλεια του προσωπικού ως δύο από τα δέκα υποχρεωτικά μέτρα· το ISO 27001 το αναπτύσσει αυτό στο Annex A υπό το access control, με ιδιαίτερη προσοχή στην πρόσβαση από τρίτα μέρη και την ανάκλησή της κατά τη λήξη της σύμβασης.