ankieta pyta, jak zabezpieczamy pracę zdalną i dostęp zdalny

Dostęp zdalny podlega polityce dostępu i uwierzytelnianiu wieloskładnikowemu

Pytanie dotyczące pracy z domu i dostępu zdalnego jest zwykle kombinacją dwóch spośród dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2: punkt (i), polityka dostępu i zarządzanie zasobami przedsiębiorstwa, oraz punkt (j), stosowanie uwierzytelniania wieloskładnikowego. Klienci, którzy pytają o to osobno, chcą wiedzieć, jak pracownik z prywatnej sieci lub własnego laptopa uzyskuje dostęp do systemów przedsiębiorstwa i jakie bariery tego towarzyszą. Sama połączenie VPN nie jest odpowiedzią na to pytanie — chodzi o kombinację zaszyfrowanego połączenia, uwierzytelniania i zarządzania urządzeniami.

Konkretny dowód zwykle składa się z trzech części: konfiguracja VPN lub zero trust z szyfrowaniem, wymóg uwierzytelniania wieloskładnikowego obowiązujący również dla dostępu zewnętrznego (nie tylko dla sieci przedsiębiorstwa) i przegląd urządzeń, którym może być przyznany dostęp — prywatnych lub służbowych. Jeśli działa rozwiązanie Mobile Device Management, jest to mocny materiał dowodowy. Jeśli go brakuje, odpowiedź na część dotyczącą zarządzania urządzeniami jest często "nie", nawet jeśli uwierzytelnianie wieloskładnikowe istnieje. Wypełnij wtedy każdą część osobno, co jest, a co nie jest uregulowane, zamiast jednego podsumowanego "tak" lub "nie" — pozwala to uniknąć niesłusznie "nie" na pytanie, które de facto jest prawidłowe w połowie. Jeśli szyfrowaniem samego ruchu jest przedmiotem pytania, to raczej należy do polityka dotycząca kryptografii i szyfrowania niż do dostępu. Jeśli nie masz pewności, które dokładnie pole to dotyczy, sprawdź też, czy pytanie w rzeczywistości dotyczy politykę dostępu wraz z zarządzaniem zasobami przedsiębiorstwa idzie — w rzeczywistości zwykle są to dwa oddzielne podpytania spakowane w jednej linii.

Gdzie to się znajduje: artykuł 21 ust. 2, litery i i j

Artykuł 21 ust. 2 Dyrektywy (EU) 2022/2555 wymienia politykę dostępu i zarządzanie aktywami przedsiębiorstwa jako punkt (i) oraz użycie uwierzytelniania wieloskładnikowego lub uwierzytelniania ciągłego jako punkt (j), obok szyfrowania jako punkt (h). ISO/IEC 27001 Annex A rozszerza to w miarach kontrolnych dotyczących bezpieczeństwa dostępu i urządzeń poza siedzibą przedsiębiorstwa. Ustawa o Cyberbezpieczeństwie przejmuje ten podział, gdy wejdzie w życie po 15 sierpnia 2026, więc struktura pytania się nie zmieni — zmieni się natomiast to, kto jest zobowiązany na nie odpowiedzieć.