asiakas kysyy mobiililaitteiden hallintapolitiikastamme, mitä vastaan

Mobiililaitteiden käytäntö kuuluu pääsynhallintakäytäntöihin, ei erilliseksi aiheeksi

Tämä kuuluu NIS2-direktiivin 21 artiklan 2 kohdan alakohtiin d ja i: pääsynvalvonta ja yrityksen omaisuuden hallinta ("asset management"), ja ISO 27001:ssä liitteessä A omaisuuden ja pääsynvalvonnan kategorioissa. NIS2:ssa ei ole erillistä toimenpidettä "matkapuhelimille" — asiakas kääntää oman ISO- tai BIO-kyselynsä tähän osaan, ja sinun vastauksen on oltava loogisesti sopusoinnussa tämän kanssa sen sijaan, että se olisi erillinen käytäntödokumentti.

Käytännön tasolla: jos MDM-ratkaisu on käytössä (Intune, Jamf tai vastaava), jolla on pakollinen näytön lukitus, salaus ja etäpoisto kadonneen puhelimen varalta, se on todistusaineisto — ruutukaappaus käytäntöjen määrityksestä tai itse käytäntödokumentista. BYOD-tilanteessa (työntekijöiden omat puhelimet työhön) kysymys on usein tarkemmin muotoiltu, koska työ- ja yksityistietojen erottelu on tällöin huomionkohde: containerization tai erillinen työapplikaatio riittää usein vastaukseksi. Jos muodollinen käytäntö puuttuu mutta yksittäisiä toimenpiteitä on olemassa (MFA, salaus, poiston mahdollisuus), "ei" dokumentoidun käytäntöä koskevaan kysymykseen on itse asiassa oikeampi vastaus kuin ennenaikainen "kyllä" — asiakas kysyy usein dokumentista, ei käytännöstä. Tarkista myös, ovatko monivaiheinen todennus yrityksen järjestelmille jo vastattu, koska nämä kaksi vastausta eivät saa olla ristiriidassa keskenään.

Missä tämä kysymyslistassa yleensä esiintyy

Kyselylomakkeet, jotka koskevat mobiililaitteiden käytäntöä, ryhmittelevät sen usein yhdessä loppupäätteen salauskyselyjen kanssa — katso käytäntö kryptografiasta ja salauksesta laajempaa salauskysymystä, joka yleensä sijaitsee tämän vieressä — ja pääsynhallinnan käytäntöstä tulevan laajemman omaisuuden inventaariointitiedon kanssa. ISO 27001 liitteessä A mobiililaitteet eivät ole omia päälukua, vaan osaltehallinnon ja pääsynvalvonnan aliosio; joka on jo dokumentoinut vastauksen siellä, voi ottaa mobile device -vastauksen suoraan sen pohjalta sen sijaan, että keksisi uuden käytäntödokumentin.