jak wypełniam pytanie dotyczące bezpieczeństwa podczas pracy zdalnej

Praca zdalna podlega polityce dostępu i uwierzytelnianiu wieloskładnikowemu, a nie oddzielnemu punktowi

Pytanie dotyczące pracy zdalnej zwykle nie stanowi samodzielnego tematu, ale jest rozwinięciem dwóch z dziesięciu środków zawartych w artykule 21 ust. 2 dyrektywy NIS2: polityki dostępu (punkt i) i stosowania uwierzytelniania wieloskładnikowego lub porównywalnych bezpiecznych połączeń (punkt j). Nie wypełniaj go zatem samodzielnie, ale spójnie z tym, co już odpowiedziałeś na pytanie polityki dostępu i zarządzania zasobami przedsiębiorstwa oraz u o uwierzytelnianiu wieloskładnikowym. Jeśli odpowiedź tam nie zgadza się z tym, co mówisz tutaj, jest to pierwsze, co zauważy oceniający.

Konkretnie klient zwykle chce wiedzieć: czy pracownicy logują się za pośrednictwem sieci VPN lub połączenia zero-trust, czy uwierzytelnianie wieloskładnikowe jest obowiązkowe na tym połączeniu, czy obowiązuje polityka urządzeń dla laptopów prywatnych w stosunku do służbowych, i czy istnieje podstawowa zasada dotycząca publicznego Wi-Fi. Jeśli nie posiadasz tego jako oddzielnego dokumentu polityki, ale jako ustęp w szerszym regulaminie IT, wystarczy to jako dowód — powołaj się na ten ustęp, a nie na cały dokument. Jeśli brakuje jednego z czterech punktów, nie odpowiadaj automatycznie „nie": wskaż, co jest dostępne (na przykład uwierzytelnianie wieloskładnikowe tak, polityka urządzeń nie) i pozwól klientowi samemu ocenić pytanie następcze. Jeśli nie posiadasz żadnego z nich, „nie, jeszcze nie sformalizowane" jest faktycznie bardziej prawidłowe niż połowiczny „tak", którego nie potrafisz uzasadnić.

Skąd to pochodzi: artykuł 21 ust. 2, punkty i i j

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia w punkcie i „politykę i procedury dotyczące stosowania kryptografii" — nie, to punkt h; punkt i dotyczy bezpieczeństwa personelu, polityki dostępu i zarządzania zasobami, a punkt j w szczególności stosowania rozwiązań wieloskładnikowego uwierzytelniania lub ciągłego uwierzytelniania, komunikacji zaszyfrowanej i zabezpieczonej komunikacji nadzwyczajnej w obrębie podmiotu. ISO/IEC 27001 Annex A rozwinął to dalej w zasobach kontrolnych dotyczących pracy zdalnej i dostępu do sieci. Ustawy o cyberbezpieczeństwie podjął ten podział bez zmian, gdy wejdzie w życie 15 sierpnia 2026 roku, dlatego odpowiedź dostosowana już teraz do tych dwóch punktów pozostanie użyteczna po tej dacie.