klient pyta, jak zabezpieczamy pracę zdalną, co tam wpisuję

Praca zdalna podlega polityce dostępu, a nie oddzielnej mierze

W artykule 21 ust. 2 NIS2 ani w Załączniku A normy ISO 27001 nie ma oddzielnego punktu dotyczącego "pracy zdalnej". W praktyce pytanie to jest pokrywane kombinacją: polityka dostępu i zarządzanie zasobami przedsiębiorstwa, uwierzytelnianie wieloskładnikowe i potencjalnie kryptografia danych opuszczających sieć przedsiębiorstwa. Gdy twój klient pyta "jak zabezpieczacie pracę zdalną", zwykle chodzi o skróconą wersję pytania: jak regulujecie dostęp do systemów biznesowych z lokalizacji poza biurem i na jakim urządzeniu.

Konkretnie audytor szuka trzech rzeczy. Po pierwsze: czy dostęp do systemów i danych z domu jest powiązany z zarządzanym kontem, z polityki dostępu i zarządzania zasobami przedsiębiorstwa jako dokument zatwierddzony. Po drugie: czy uwierzytelnianie wieloskładnikowe jest obowiązkowe dla tego dostępu — bez MFA "tak, zabezpieczone" zwykle nie stanowi dopuszczalnej odpowiedzi, patrz uwierzytelnianie wieloskładnikowe dla systemów biznesowych. Po trzecie: czy jest szyfrowanie na urządzeniu lub połączeniu (VPN, szyfrowanie dysku) w przypadku lokalnego przechowywania wrażliwych danych. Jeśli nie masz MFA lub nie ma wymógu VPN, odpowiedz "nie" lub "częściowo" — zaproponowane "tak" bez podstawowej polityki nie stanowi dowodu, to zgadywanka, a ta zgadywanka powróci w audycie.

Dowodem jest dokument polityki, a nie zrzut ekranu

Dowodem zwykle wymaganym jest sama polityka dostępu (wraz z fragmentem dotyczącym pracy zewnętrznej lub dostępu zdalnego) plus eksport z dostawcy tożsamości pokazujący wymuszanie MFA. Zrzut ekranu jednego laptopa nie stanowi dowodu procesu. Zgodnie z ustawą o cyberbezpieczeństwie — polską transpozycją, która wejdzie w życie 15 sierpnia 2026 — ten sam wymóg powraca poprzez dziesięć miar z artykułu 21 ust. 2 NIS2; kto ma już politykę dostępu i MFA w porządku, ma przez to również przewagę w stosunku do tego obowiązku. Dodatkowo jest to oddzielone od pytania, czy twoja własna organizacja sama podlega dyrektywom jako podmiot podlegający NIS2 lub krajowej transpozycji — to określa czy musisz, a nie co tu wpisujesz.