klients jautā, kuriem piegādātājiem ir piekļuve mūsu sistēmām

Šis jautājums apvieno piegādes ķēdes drošību un piekļuves kontroli

Klients šeit faktiski vēlas zināt divas lietas vienlaicīgi: kuri piegādātāji tehniski var piekļūt sistēmām un vai šis piekļuves politika ir kontrolēta. Tas ir tiešs jautājums piekļuves politika, ieskaitant uzņēmuma līdzekļu pārvaldību — tur ir norādīts, kas drīkst darbības veikt un ar kādām tiesībām. Piegādātājs, kurš attālināti piesakās sistēmā, sniedz attālinātu atbalstu vai apstrādā datus savā lietojumprogrammā, ietilpst šajā atbildē.

Tas attiecas ne tikai uz IT piegādātājiem klasiskajā nozīmē. Grāmatvedības birojs ar piekļuvi finanšu sistēmai, mitināšanas pakalpojuma sniedzējs, SaaS rīks, kurā atrodas klientu dati: tie visi ir ārējās puses ar piekļuves tiesībām. Tas, vai jautājums attiecas arī uz prasībām, ko pats uzņēmums izvirza šiem piegādātājiem — līgumiski, tehniski, audita tiesību ziņā — ir atkarīgs no formulējuma jautājumu sarakstā. Bieži vien tas ir atsevišķs jautājums, kas saskaņojas ar drošības prasībām, ko uzņēmums izvirza saviem piegādātājiem. Bez aktuāla ārējās piekļuves pārskata — piegādātāju saraksta ar piekļuves veidu katrai pusei — nav pamata dokumenta, uz kura balstīt šo atbildi, un tad atbilde vēl nav ierakstāma.

Kur tas atrodas desmit pasākumos

Piekļuves politika un piegādes ķēdes drošība ir divi atsevišķi pasākumi desmit no NIS2 direktīvas 21. panta 2. punkta: piegādes ķēdes drošība ir d) punktā, piekļuves kontrole un uzņēmuma līdzekļu pārvaldība i) punktā. ISO/IEC 27001 šo sadala līdzīgi A pielikumā ar atsevišķiem kontroles pasākumiem piegādātāju attiecībām un piekļuves pārvaldībai. Tiem, kas šo jautājumu saņem no Kiberdrošības likuma, NIS2 Nīderlandes transponēšanas, var sagaidīt, ka abi skati — kam ir piekļuve un vai tas ir kontrolēts — atkal nāks atsevišķi jautājumu sarakstā.