chcą wiedzieć, jak zabezpieczamy pracę zdalną

Bezpieczeństwo pracy zdalnej podlega kontroli dostępu i MFA

Pytanie dotyczące stanowisk pracy zdalnej zwykle nie stanowi osobnego tematu, ale rozwinięcie dwóch szerszych środków z artykułu 21 ust. 2 dyrektywy NIS2: polityka dostępu (w tym e, "polityka i procedury dotyczące używania kryptografii" czasami zawierają również pytania dotyczące szyfrowania VPN) i uwierzytelnianie (w tym j, uwierzytelnianie wieloskładnikowe i bezpieczna komunikacja). Klienci chcą konkretnie wiedzieć, czy stanowisko pracy zdalnej jest równie dobrze zabezpieczone jak stanowisko biurowe: czy VPN lub dostęp zero-trust jest obowiązkowy, czy MFA jest włączone dla wszystkich połączeń zewnętrznych i czy istnieje polityka dotycząca urządzeń (laptop firmowy w porównaniu z prywatnym telefonem), które mogą uzyskać dostęp.

Jeśli tego nie udokumentujesz wyraźnie, najczęstsza odpowiedź to "nie" z wyjaśnieniem: na przykład że dostęp do systemów firmowych i tak odbywa się przez MFA, niezależnie od lokalizacji pracownika. To jest często silniejsze niż częściowo wypełnione "tak" dotyczące polityki pracy zdalnej, której nie ma. Najpierw sprawdź, czy uwierzytelnianie wieloskładnikowe dla systemów biznesowych zostało już udokumentowane — jeśli odpowiedź to "tak", to już obejmuje dużą część tego pytania, ponieważ większość klientów pyta o pracę zdalną właśnie po to, aby sprawdzić, czy dostęp niezależny od miejsca jest dobrze zorganizowany. Jeśli brakuje zarówno polityki VPN, jak i MFA, odpowiedź "nie" jest oczywista, ewentualnie z wyjaśnieniem dotyczącym tego, co istnieje (na przykład tylko polityka haseł).

Gdzie to zostaje bardziej konkretne w Załączniku A normy ISO 27001

ISO/IEC 27001 Annex A rozwija to dalej w ramach środków kontroli "pracy zdalnej" i kontroli dostępu, a wiele list przesyłanych przez banki i dużych odbiorców jest bezpośrednio opartych na tym podziale Annex A — dlatego pytanie często pojawia się niezależnie od dziesięciu NIS2. To, czy organizacja może coś powiedzieć na ten temat strukturalnie, zależy również od tego, czy sama podlega ustawie o bezpieczeństwie cybernetycznym; jeśli tak nie jest, wystarczy pragmatyczna odpowiedź na temat istniejącej sytuacji. Jeśli masz wątpliwości, czy organizacja podlega tym przepisom, zobacz w czy organizacja podlega NIS2 lub krajowej transpozycji — to określa, jak duży wpływ ta odpowiedź powinna mieć na całościowy obraz listy.