klient pyta, którzy dostawcy mają dostęp do naszych systemów

To pytanie łączy bezpieczeństwo łańcucha dostaw i kontrolę dostępu

Klient chce tutaj właściwie wiedzieć dwie rzeczy jednocześnie: którzy dostawcy mają dostęp techniczny do systemów oraz czy ta polityka dostępu jest pod kontrolą. To bezpośrednio ich dotyczy polityka dostępu wraz z zarządzaniem zasobami przedsiębiorstwa — tam jest określone, kto coś może robić i jakie ma uprawnienia. Dostawca, który loguje się zdalnie do systemu, świadczy zdalne wsparcie lub przetwarza dane w swojej aplikacji, podlega pod to pytanie.

Nie chodzi tylko o dostawców IT w klasycznym sensie. Biuro rachunkowe mające wgląd w system finansowy, usługodawca hostingowy, narzędzie SaaS przechowujące dane klientów: to wszyscy zewnętrzni dostawcy mający dostęp. To, czy pytanie obejmuje również wymogi, które samo przedsiębiorstwo stawia tym dostawcom — umownie, technicznie, w zakresie prawa do audytu — zależy od sformułowania w kwestionariuszu. Często jest to osobne pytanie, które wiąże się z wymogami bezpieczeństwa, które przedsiębiorstwo stawia swoim dostawcom. Bez aktualnego przeglądu dostępu zewnętrznych — listy dostawców z rodzajem dostępu dla każdej strony — nie ma dokumentu źródłowego, na którym można oprzeć to pytanie, i wówczas nie można go jeszcze wypełnić.

Gdzie to znajduje się w dziesięciu środkach

Polityka dostępu i bezpieczeństwo łańcucha dostaw to dwie odrębne środki spośród dziesięciu z artykułu 21 ust. 2 dyrektywy NIS2: bezpieczeństwo łańcucha dostaw znajduje się w punkcie d, kontrola dostępu i zarządzanie zasobami przedsiębiorstwa w punkcie i. ISO/IEC 27001 dzieli to podobnie w Załączniku A, z odrębnymi środkami kontroli dla relacji dostawców i dla kontroli dostępu. Kto otrzymuje to pytanie w ramach ustawy o cyberbezpieczeństwie, polskiego wdrożenia NIS2, może oczekiwać, że oba podejścia — kto ma dostęp i czy to jest kontrolowane — pojawią się oddzielnie na liście.