lista pytań pyta, czy stanowiska pracy w domu są zabezpieczone, co powinienem odpowiedzieć

Stanowiska pracy z domu podlegają polityce dostępu, a nie oddzielnemu tematowi

Nie jest potrzebna osobna odpowiedź na temat "pracy z domu": w praktyce pytanie dotyczy zarządzania dostępem, uwierzytelniania i bezpieczeństwa urządzeń końcowych. Jeśli to jest w porządku, praca z domu jest objęta. Odpowiedz na pytanie, odnosząc się do tych samych środków, które już stosujecie dla stanowisk biurowych: kto uzyskuje dostęp do jakich systemów, przy użyciu jakiego urządzenia i przez jakie połączenie.

W praktyce klient szuka trzech rzeczy: VPN lub inne zaszyfrowane połączenie z systemami firmowymi, uwierzytelnianie wieloskładnikowe dla dostępu zdalnego oraz zarządzanie laptopami i telefonami, z których pracownicy pracują z domu (poziom poprawek, szyfrowanie dysku, polityka haseł). Jeśli to zostało udokumentowane, można uzasadnić odpowiedź "tak". Jeśli brakuje jednego z trzech elementów — na przykład MFA jest obowiązkowe tylko w biurze, a nie podczas pracy z domu — odpowiedź to "częściowo" z wyjaśnieniem, która część jest opanowana. Sprawdź to względem polityki dostępu i zarządzania zasobami przedsiębiorstwa i względem stanu uwierzytelniania wieloskładnikowego: to dwa dokumenty w dossierze, na których opiera się ta odpowiedź. Jeśli nie masz VPN, ale masz inną formę zaszyfrowanego dostępu, nazwij to konkretnie — "bezpieczeństwo" bez uzasadnienia nie daje użytecznej odpowiedzi.

Można to prześledzić do artykułu 21 ust. 2, a nie do osobnej normy dotyczącej pracy z domu

NIS2 nie zawiera osobnego artykułu dotyczącego pracy z domu. Dziesięć środków zawartych w artykule 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia politykę dostępu i zarządzanie zasobami biznesowymi (punkt i) oraz stosowanie uwierzytelniania wieloskładnikowego lub ciągłego uwierzytelniania (punkt j) jako odrębne kategorie — praca z domu jest jej zastosowaniem, a nie odrębną kategorią. W przypadku wdrożenia ISO 27001 ta kwestia znajduje się w obszarze środków Aneksu A dotyczących bezpieczeństwa dostępu i urządzeń poza pomieszczeniami biznesowymi. Jeśli więc klient pyta o "zabezpieczone stanowiska pracy z domu", odpowiedź jest w istocie wycinkiem z twojej szerszej polityki dostępu, i to właśnie tam szukasz dowodu.