lista pytań dotyczy zasad dotyczących urządzeń mobilnych i laptopów pracowników

Zasady dotyczące urządzeń mobilnych wchodzą w skład kontroli dostępu i zarządzania zasobami

To pytanie dotyczy artykułu 21 ust. 2 lit. i dyrektywy NIS2: zasad dotyczących kontroli dostępu, w tym zarządzania zasobami ("asset management"). Telefony komórkowe i laptopy to zasoby, które umożliwiają dostęp do danych poza siecią biurową, a klient chce wiedzieć, czy mamy nad tym kontrolę. W praktyce lista pytań zwykle oczekuje odpowiedzi na kilka stałych punktów: czy istnieje rejestr wydanych urządzeń, czy szyfrowanie magazynu jest obowiązkowe, czy istnieje wymóg minimalnego kodu PIN lub biometrii, oraz czy stracone lub skradzione urządzenie można usunąć zdalnie (MDM — mobile device management). BYOD (bring your own device, prywatne urządzenia pracowników) również często pojawia się osobno, ponieważ wiąże się z innym ryzykiem niż urządzenia firmowe.

Jeśli ta polityka nie jest jeszcze napisana, ale praktyka jest w porządku — szyfrowanie jest domyślnie włączone, dostęp odbywa się za pośrednictwem konta z uwierzytelnianie wieloskładnikowe — to "nie, brak jeszcze ustalonej polityki" to szczera odpowiedź, ewentualnie z wyjaśnieniem dotyczącym faktycznie wdrożonych środków. Nie mów "tak" na pytanie o rozwiązanie MDM, jeśli go nie masz; klient, który będzie dalej pytać o rejestr urządzeń lub proces reagowania na utratę, w innym przypadku będzie bez uzasadnienia. Utrata lub kradzież urządzenia również dotyczy procedury obsługi incydentów bezpieczeństwa, więc te dwie odpowiedzi muszą być ze sobą spójne.

Gdzie to jest: artykuł 21 ust. 2 i Aneks A

Artykuł 21 ust. 2 lit. i Dyrektywy (UE) 2022/2555 wymienia zasady dotyczące kontroli dostępu i zarządzania zasobami jako jeden z dziesięciu obowiązkowych środków. ISO/IEC 27001 rozwija to dalej w Aneksie A, wśród środków kontroli dotyczących "endpoint devices" i urządzeń mobilnych; jeśli posiadasz już certyfikat ISO 27001, zwykle masz tę część już udokumentowaną. Holenderska Ustawa o Bezpieczeństwie Cybernetycznym, która transpozycji NIS2 i wejdzie w życie 15 sierpnia 2026 r., follows tę samą strukturę dziesięciu środków.