jak wpisuję odpowiedź na pytanie o VPN i bezpieczny dostęp zdalny

Pytanie wykracza poza samo VPN

VPN jest jedną techniką, ale pytanie dotyczy ogólnie bezpieczeństwa dostępu zdalnego. To wchodzi w punkt (i) dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2: bezpieczeństwo personelu, polityka dostępu i zarządzanie zasobami przedsiębiorstwa. Klient pytający o "zabezpieczony dostęp zdalny" zazwyczaj chce wiedzieć, czy istnieje VPN lub podobne szyfrowane połączenie, czy uwierzytelnianie wieloskładnikowe jest obowiązkowe, oraz czy dostęp jest ograniczony do tego, co ktoś potrzebuje do swojej funkcji. Dlatego nie odpowiadaj tylko "tak, używamy VPN" — dodaj, czy jest to obowiązkowe dla całego dostępu zewnętrznego, oraz czy istnieje limit czasowy lub automatyczne wylogowanie.

Jeśli nie masz VPN, ale inny mechanizm — rozwiązanie zero-trust, bramę z uwierzytelnianiem certyfikatem, środowisko chmurowe bez sieci lokalnej — to "nie" na dosłowne pytanie o VPN nie jest błędem, ale jest niekompletne. W takim przypadku opisz, co rzeczywiście się wykorzystuje, ponieważ portal twojego klienta właściwie pyta o cel (szyfrowany, kontrolowany dostęp), a nie o konkretny produkt. Jeśli brakuje uwierzytelniania wieloskładnikowego na dostępie zdalnym, to osobne pytanie, które często pojawia się oddzielnie na liście, patrz czy uwierzytelnianie wieloskładnikowe jest wykorzystywane do dostępu do systemów przedsiębiorstwa. Jeśli nic nie zostało udokumentowane na temat tego, kto może logować się zdalnie i z jakimi uprawnieniami, to dotyczy również szerszej kwestii polityki dostępu, patrz czy zasady dostępu są określone, w tym zarządzanie zasobami przedsiębiorstwa.

Gdzie to znajduje się w dyrektywie i normie

Artykuł 21 ust. 2 lit. i Dyrektywy (UE) 2022/2555 wymienia bezpieczeństwo personelu, politykę dostępu i zarządzanie zasobami przedsiębiorstwa jako jeden z dziesięciu obowiązkowych środków; dostęp zdalny wchodzi w to. ISO/IEC 27001 Annex A rozwija to dalej za pomocą konkretnych środków kontroli dla bezpieczeństwa dostępu i bezpieczeństwa sieci, gdzie użycie VPN jest zazwyczaj dokumentowane. Ustawa o cyberbezpieczeństwie, polska implementacja NIS2, wchodzi w życie 15 sierpnia 2026 r. i ustanawia te same dziesięć środków dla podmiotów, na które ustawa się stosuje.