jautājumkopa jautā, vai darbinieki strādā, izmantojot VPN, kā es to pamatoju

VPN ir tehnisks pasākums, nevis atsevišķs pasākuma tips

VPN ietilpst piekļuves drošībā un komunikācijas šifrēšanā, nevis atsevišķā kategorijā. NIS2 direktīvas 21. panta 2. punktā nav tiešas VPN prasības; desmit pasākumi tur ir formulēti funkcionāli, tai skaitā f punkts (piekļuves politika) un h punkts (šifrēšana). Klients, kurš konkrēti prasa par VPN, parasti šo funkcionālo prasību tulko vienā konkrētā metodē — bieži tāpēc, ka viņa paša jautājumjaunas formates to nosaka, nevis tāpēc, ka likums lieto šo vārdu.

Ja darbinieki strādā attāli caur VPN, pamatojums parasti ir piekļuves politikas izraksts, kurā VPN ir norādīts kā prasība ārējai piekļuvei, iespējams papildināts ar konfigurācijas pārskatu vai ekrānuzņemumu no vadības konsoles. Ja šis dokuments trūkst, tad "nē" ar īsu skaidrojumu (piemēram: attālā piekļuve norit caur citu kontrolētu metodi) ir labāk nekā VPN atbilde bez avota — dossejs ievada tikai to, ko tas var pamatot, un šaubās gadījumā lauks paliek atvērts pašu aizpildīšanai. Tas atbilst piekļuves politiku un uzņēmuma līdzekļu pārvaldību, kur VPN ir tipiski viena no minētajām kontrolēm līdzās paroles politikai un ierīču pārvaldībai.

No kurienes tas nāk: Annex A un 21. panta 2. punkts

ISO/IEC 27001 Annex A piemin tīkla drošību un kriptogrāfiskos pasākumus kā pārvaldības kontroles, bet arī tur VPN nav nosaukts — tas ir ieviešanas izvēle plašākas kontroles ietvaros. Kurš jau ir ISO 27001 sertificēts, šim jautājumam parasti var atsaukties uz Piemērojamības paziņojumu, nevis meklēt atsevišķu VPN pierādījumu; skat. ko ISO 27001 sertifikāts sedz un ko nē. Uzņēmumiem, kas paši nonāks Kiberdrošības likuma tvērumā, kad tas stājas spēkā 2026. gada 15. augustā, attiecas tas pats funkcionālais formulējums no NIS2 transponēšanas — likums prasa mērķi, nevis līdzekli.