klientas paklausimas, kaip mes valdome išorinių tiekėjų prieigą

Prieiga išorinėms tiekėjams yra NIS2 direktyvos 21 straipsnio 2 dalies dalis

Šis klausimas yra apie tai, kaip jūs valdote trečiųjų šalių prieigą prie jūsų sistemų ir duomenų, ir tai tiesiogiai veikia dvi iš dešimties priemonių, nustatytų NIS2 direktyvos 21 straipsnyje 2 dalyje: punktą (i) (prieigos politika) ir punktą (d) (tiekimo grandinės saugumas tiekėjams atžvilgiu). Klient norėtų žinoti ne tik tai, ar išorinės šalys turi prieigą, bet ir kaip ta prieiga yra apribota, kas ją suteikia ir atšaukia, bei ar tas procesas yra užfiksuotas. Atsakymas, pavyzdžiui "tiekėjai gauna prieigą tik po patvirtinimo" yra per neaiškus be to, kaip vyksta tas patvirtinimas ir kaip dažnai jis peržiūrimas.

Tai, ko jums konkretiškai reikia: išorinio paskyros autorizacijos proceso aprašymas, pageidautina su nuoroda į mažiausios privilegijos principą (prieiga apribota tik tuo, kas reikalinga) ir greitį, kuriuo prieiga peržiūrima arba atšaukiama pasibaigus sutarčiai. Jei šis procesas nepastebimas, tai "ne" čia yra sąžingas atsakymas — sugerentinis "taip" be pagrindinių dokumentų, atlikus kliento sukibimą, daro daugiau žalos nei "ne" su paaiškinimą, kad politika dar kuriama. Šis klausimas sutampa su prieigos politika ir įmonės turto valdymukur platesnė autorizacijos struktūra aptariama, ir su klausimu, ar įmonė nustato reikalavimus savo tiekėjams, nes išorinės prieigos valdymas praktikoje dažnai yra tos pačios grandinės politikos dalis.

Kur tai nurodyta: Direktyvos (ES) 2022/2555 21 straipsnis 2 dalis, punktai (d) ir (i)

Direktyvos (ES) 2022/2555 21 straipsnis 2 dalis nurodo (i) punkte "prieigos kontrolės politiką" kaip vieną iš dešimties privalomų priemonių, o (d) punkte – tiekimo grandinės apsaugą, įskaitant ryšius su tiekėjais — išorinė prieiga patenka į abi kategorijas. ISO/IEC 27001 Priedo A yra išsamiai aprašytos atitinkamos kontrolės priemonės prieigos valdymui ir tiekėjų santykiams kontrolės lygmeniu, todėl dažnai klients prašo konkretaus Priedo A kontrolės numerio, o ne pačio direktyvos teksto. Bendrovėms, kurioms taikoma Nyderlandų transpozicija, šis reikalavimas pakartojamas Kibernetinio saugumo įstatyme, kuris įsigalioja 2026 m. rugpjūtį 15 d.