klausimynas klausia apie mobilių įrenginių ir nešiojamųjų kompiuterių politiką

Mobilusis aparatų politika patenka į prieigos kontrolę ir verslo turtą

Šis klausimas priklauso NIS2 21 straipsnio 2 daliai, punktui i: prieigos kontrolės politika, įskaitant verslo turto valdymą („asset management"). Telefonai ir nešiojamieji kompiuteriai yra verslo turtas, kuris atskleidžia duomenis už biuro tinklo ribų, ir klientas nori žinoti, ar tai yra kontroliuojama. Praktikoje klausimynas tikisi atsakymo į kelis fiksuotus punktus: ar yra išduotų aparatų registras, ar šifravimas yra privalomas, ar yra minimalių PIN kodo ar biometrijos reikalavimų, ir ar iš nuotolio galima ištrinti prarastą ar pavogdintą įrenginį (MDM — mobile device management). BYOD (bring your own device, darbuotojų asmeniniai aparatai) taip pat dažnai atsiranda atskirai, nes tai kelia kitokią riziką nei verslo aparatai.

Jeigu ši politika dar nėra užrašyta, bet praktika yra tvarkoje — šifravimas numatytas standartiškai, prieiga vyksta per paskyra su daugiaaspektė autentifikacija — tai „ne, dar nėra nustatytos politikos saugumo incidentų tvarkos procedūra, taigi šie du atsakymai turi sutapti.

Kur tai nurodyta: 21 straipsnio 2 dalis ir A priedas

2022/2555 direktyvos 21 straipsnio 2 dalies i punktas nurodo prieigos kontrolės politiką ir verslo išteklių valdymą kaip vieną iš dešimties privalomų priemonių. ISO/IEC 27001 tai toliau detalizuoja Priede A, nurodydamas saugumo priemones "endpoint devices" ir mobiliaisiems įrenginiams; jei jau esate ISO 27001 sertifikuoti, šią dalį paprastai jau turite dokumentuotą. Nyderlandų Kibernetinio saugumo įstatymas, kuris transpozuoja NIS2 direktyvą ir įsigalios 2026 m. rugpjūčio 15 d., taip pat seka tą pačią dešimties priemonių struktūrą.