klausia, kas turi prieigą prie jų duomenų

Prieigos politika, o ne vardų sąrašas

Klientas dažniausiai čia nori sužinoti ne tai, kuris atskiras asmuo prisijungia, o tai, ar yra sistema, kuri reglamentuoja, kas kur gali pasiekti. Tai patenka į prieigos kontrolę: kas turi prieigą prie kurių sistemų ir duomenų, remiantis kuria role, ir kaip ta prieiga suteikiama bei panaikinama. Todėl atsakymas susideda iš dviejų dalių: politika (kaip suteikiama prieiga, peržiūrima, panaikinama atleidus iš pareigų) ir praktika (ar naudojamos role pagrįstos teisės, mažiausi būtini suteikimai, periodinė kontrolė, kas dar turi prieigą).

Jei nėra atskiro prieigos politikos dokumento, bet praktika yra tvarkoje — pavyzdžiui, sistemos rolės, nustatytas procesas priimant ir atleidžiant darbuotojus — to dažnai pakanka atsakyti "taip", jei tai yra tikrai patikrinama. Jei abejų nėra, tada "ne" yra sąžiningas atsakymas; šiam klausimui pateikti pasiūlymą kaip "taip" be šaltinio grandinės byloje nevyksta. Susijusios klausimai tame pačiame sąraše dažnai yra apie daugiafaktorinis autentifikavimas verslo sistemoms ir apie politiką dėl rizikos analizės ir informacinių sistemų saugumo — šie du turėtų būti susijęti iš esmės, nes prieiga dažniausiai yra viena iš kontrolės priemonių, atsirandančių iš rizikos analizės.

Grįžti prie 21 straipsnio 2 dalies ir A priedo

Prieigos kontrolė yra viena iš dešimties priemonių iš NIS2 direktyvos 21 straipsnio 2 dalies (Direktyva (ES) 2022/2555): jame aiškiai nurodyta prieigos kontrolės politika ir verslo išteklių valdymas kaip privalomas rizikos valdymo komponentas. ISO/IEC 27001 standarte tai atsispindi Priedėlio A kontrolės priemonėse pagal prieigos kontrolės kategoriją. Klientai, kurie patys turės atitikti Kibernetinio saugumo įstatymą — Nyderlandų NIS2 transpoziciją, kuri įsigalioja 2026 m. rugpjūtį 15 d. — todėl šį klausimą vis dažniau standartiškai pateikia savo tiekėjams, net jei jie patys dar nepaskelbti kaip subjektai pagal direktyvą.