klient pyta, jak zabezpieczamy urządzenia mobilne pracowników

Zarządzanie urządzeniami mobilnymi wchodzi w zakres dostępu i zasobów przedsiębiorstwa

To pytanie dotyczy artykułu 21 ust. 2 lit. d i lit. i dyrektywy NIS2: bezpieczeństwo przy pozyskiwaniu, opracowywaniu i utrzymaniu, oraz zarządzanie dostępem obejmujące zarządzanie zasobami przedsiębiorstwa. Telefony i tablety są zasobami przedsiębiorstwa („assets*) od momentu, gdy mogą uzyskać dostęp do danych biznesowych — poczta, systemy klientów, dyski współdzielone. Klient chce wiedzieć, czy te urządzenia są w stanie możliwym do zarządzania: czy są zarejestrowane, czy istnieje wymóg hasła lub kodu PIN, czy można usunąć zgubione urządzenie zdalnie, czy szyfrowanie jest włączone.

Jeśli działa rozwiązanie MDM (Mobile Device Management) — Intune, Jamf, Google Endpoint Management lub podobne — to jest to dowód: zrzut ekranu profilu zasad lub opis ustawionych reguł (kod PIN, szyfrowanie, zdalne usuwanie, ograniczenia aplikacji). Jeśli brakuje MDM, odpowiedź nie jest automatycznie "nie": wiele mniejszych przedsiębiorstw reguluje to za pomocą polityki bring-your-device oraz podpisanej deklaracji użytkownika. Opisz zamiast tego to, co już istnieje, zamiast pomijać pytanie. Ten temat pokrywa się z politykę dostępu wraz z zarządzaniem zasobami przedsiębiorstwa — jeśli tam już istnieje rejestr zasobów i macierz dostępu, zarządzanie mobilne logicznie do tego należy i możesz odwołać się do tego samego źródła.

Bez MDM i bez polityki "jeszcze do określenia" to uczciwe oznaczenie, a nie "nie": wielu klientów akceptuje ścieżkę wzrostu, pod warunkiem że wskaż, co już istnieje i co jeszcze się pojawi. Wymień również, czy uwierzytelnianie wieloskładnikowe obowiązkowe dla dostępu z urządzeń mobilnych — często stanowi to osobne podzadanie na tej samej liście i jest objęte tą samą kontrolą.

Gdzie pojawia się to w Aneksie A i w prawie

W ISO/IEC 27001 Aneks A urządzenia mobilne są objęte środkami kontroli dotyczącymi zarządzania zasobami przedsiębiorstwa i bezpieczeństwa dostępu; jeśli ktoś już posiada certyfikat ISO, zwykle już ma ten dowód jako część polityki dostępu. Ustawa o cyberbezpieczeństwie zastępuje od 15 sierpnia 2026 r. obecne przepisy krajowe dotyczące NIS2, ale podział tego środka — na podstawie artykułu 21 ust. 2 — pozostaje bez zmian.