klient pyta o naszą politykę urządzeń mobilnych, co tam wpisuję

Polityka urządzeń mobilnych należy do polityki dostępu, a nie do osobnego tematu

Należy to do artykułu 21 ust. 2 lit. d i lit. i dyrektywy NIS2: bezpieczeństwo dostępu i zarządzanie zasobami przedsiębiorstwa ("asset management"), a w ISO 27001 do Załącznika A w kategorii zasoby i kontrola dostępu. Nie ma osobnego środka NIS2 dla "telefonów komórkowych" — klient tłumaczy własną listę pytań ISO lub BIO na tę część, a Twoja odpowiedź powinna logicznie się do niej przystosować zamiast stanowić osobny dokument polityki.

Praktycznie: jeśli działa rozwiązanie MDM (Intune, Jamf lub podobne) z obowiązkowym blokowaniem ekranu, szyfrowaniem i zdalnym czyszczeniem w przypadku utraty, to jest to dokument potwierdzający — zrzut ekranu konfiguracji polityki lub sam dokument polityki. W przypadku BYOD (własne telefony pracowników do pracy) pytanie jest często sformułowane ostrożniej, ponieważ rozdzielenie danych biznesowych i prywatnych stanowi punkt zainteresowania: containerization lub osobna aplikacja służbowa zwykle wystarczają jako odpowiedź. Jeśli brakuje formalnej polityki, ale poszczególne środki są na miejscu (MFA, szyfrowanie, możliwość czyszczenia), to "nie" na pytanie o udokumentowaną politykę jest faktycznie bardziej właściwe niż pochopne "tak" — klient często pyta o dokument, a nie o praktykę. Sprawdź także, czy uwierzytelnianie wieloskładnikowe dla systemów biznesowych zostało już udzielone, ponieważ te dwie odpowiedzi nie powinny się wzajemnie sprzeczać.

Gdzie zwykle pojawia się to na liście pytań

Listy pytań dotyczące polityki urządzeń mobilnych Often grupują je razem z pytaniami dotyczącymi szyfrowania urządzeń końcowych — patrz polityka dotycząca kryptografii i szyfrowania dla szerszego pytania o szyfrowanie, które zwykle tam obok stoi — i wraz z szerszą inwentaryzacją zasobów z polityki dostępu. W ISO 27001 Załącznik A nie zawiera urządzenia mobilne jako osobny rozdział, ale jako podczęść zarządzania zasobami i kontroli dostępu; kto już tam udokumentował odpowiedź, może bezpośrednio podpiąć odpowiedź dotyczącą urządzeń mobilnych zamiast wymyślać nowy dokument polityki.