klients vaicā, kā mēs pasargājam tāldarbu un BYOD - ko es tur ierakstu

Darbs no mājām un BYOD ietilpst piekļuves politikā un kriptografiā

Šis jautājums parasti neparādās kā atsevišķa daļa, bet kā divu no desmit pasākumiem izstrāde saskaņā ar NIS2 21. panta 2. punktu: piekļuves politika (punkts i) un kriptografija (punkts h). Klients vēlas zināt, kā jūs novērsiet, ka privāts telefons vai mājas klēpjdators kļūtu par noplūdi uzņēmuma sistēmās. Aizpildiet, kas jums faktiski ir: MDM (mobile device management) uz BYOD ierīcēm, obligāta diska šifrēšana, VPN pienākums attālinātai piekļuvei un atsevišķi profili darbam un personīgam lietojumam. Ja jums nav MDM, bet ir tehnisks ierobežojums — piemēram, uzņēmuma dati ir pieejami tikai caur pārlūka portālu bez lokālas glabāšanas — tad tas ir derīgs atbildums, nevis ārkārtas risinājums.

Ja BYOD politika pavisam trūkst, tātad nav nekādas tehniskas vai organizatoriskas atšķirības starp privāto un darbu, tad "nē" ir pareizā atbilde. Sarakstam bez BYOD regulējuma nav automātiski problēma: ISO/IEC 27001 A pielikumā tas ietilpst darbības kontroles pasākumos gala punktiem un piekļuvei, un daudzi uzņēmumi risku mazina, atļaujot strādāt no mājām tikai caur uzņēmuma ierīci — tad par BYOD nav jāapstiprina neko, bet par piekļuves politiku un uzņēmuma līdzekļu pārvaldi, Pārbaudiet arī, vai ir kaut kas noteikts par vairākfaktoru autentifikāciju, piekļūstot uzņēmuma sistēmām, jo šo jautājumu bieži uzdod tajā pašā blokā un pretējā gadījumā to atbildē dubulti ar pretrunīgiem atbildēm.

Kur tas precīzi atrodas: Direktīvas (ES) 2022/2555 21. panta 2. punkta h un i apakšpunkts

Direktīvas (ES) 2022/2555 21. panta 2. punkts h apakšpunktā minē politiku attiecībā uz kriptogrāfiju un šifrēšanu, bet i apakšpunktā — personāla drošību, piekļuves politiku un uzņēmuma līdzekļu pārvaldību — tajā ietilpst aprīkojums, ar kuru darbinieki iegūst piekļuvi, tāpat arī privātie telefoni un darba klēpjdatori mājās. Kiberdrošības likumā, šīs direktīvas nacionālajā transponēšanā, figurē tās pašas desmit pasākumi; likums stājas spēkā 2026. gada 15. augustā. ISO/IEC 27001 pielikums A to turpina ar atsevišķiem kontroles pasākumiem beigu punkta aprīkojumam, attāldarbam un piekļuves kontrolei, kas izskaidro, kāpēc klients dažkārt to uzdod kā vienu jautājumu, bet dažkārt kā trīs atsevišķus jautājumus.