klausimynas klausia, kaip apsaugojame nuotolinį darbą ir nuotolinę prieigą

Nuotolinis prieiga patenka į prieigos politiką ir DMA

Klausimas apie darbą iš namų ir nuotolinę prieigą dažniausiai yra dviejų iš dešimties priemonių iš NIS2 direktyvos 21 straipsnio 2 dalies kombinacija: punktas (i), prieigos politika ir verslo išteklių valdymas, ir punktas (j), daugiaetapio autentifikavimo naudojimas. Klientai, kurie tai klausia atskirai, nori žinoti, kaip darbuotojas iš privačaus tinklo arba savo nešiojamojo kompiuterio gauna prieigą prie verslo sistemų ir kokios kliūtys yra šiame procese. VPN ryšys vienas savaime nėra atsakymas į šį klausimą — tai yra užšifruoto ryšio, autentifikavimo ir įrenginio valdymo kombinacija.

Konkretus įrodymas paprastai susideda iš trijų dalių: VPN arba nulio pasitikėjimo konfigūracijos su šifravimu, DMA pareigos, kuri taikoma ir išorinei prieigai (ne tik verslo tinklui), ir sąrašo, kurie įrenginiai gali gauti prieigą — asmeniniai arba verslo. Jei veikia Mobile Device Management sprendimas, tai yra stiprus įrodymo elementas. Jei to trūksta, atsakymas į įrenginio valdymo dalį dažnai yra "ne", net jei DMA yra nustatyta. Tada užpildykite kiekvieną dalį atskirai, nurodydami, kas yra ir kas nėra sutvarkyti, vietoje vieno apibendrinančio "taip" arba "ne" — tai padeda išvengti neteisingo "ne" atsakymo į klausimą, kuris iš tikrųjų yra teisingas iš dalies. Jei paties siuntimo šifravimas yra klausimo dalykas, tai labiau priklauso politiką dėl kriptografijos ir šifravimo nei prieigai. Jei abejoji, kuris tiksliai dėžutės skyrius tai liečia, tada taip pat patikrink, ar klausimas iš tikrųjų yra apie prieigos politiką, įskaitant verslo priemonių valdymą eina — dažnai tai yra du atskiri posklausimai vienoje eilutėje supakuoti.

Kur tai yra: 21 straipsnio 2 dalies i ir j punktai

Direktyvos (ES) 2022/2555 21 straipsnio 2 dalis nurodo prieigos politiką ir verslo priemonių valdymą kaip i punktą ir autentifikacijos faktoriaus naudojimą arba nuolatinę autentifikaciją kaip j punktą, be šifravimo, nurodyto h punkte. ISO/IEC 27001 Annex A tai toliau detalizuoja priešais nukreiptus saugumo valdymo priemones ir įrangą už verslo patalpos ribų. Kibernetinio saugumo įstatymas perimta šią klasifikaciją, kai jis įsigalios po 2026 m. rugpjūčio 15 d., todėl klausimo struktūra tada nepasikeis — pasikeis tik tie, kurie turi į jį atsakyti.