klient pyta, jak zabezpieczamy pracę zdalną i BYOD, co powinienem wpisać

Praca z domu i BYOD podlegają polityce dostępu i szyfrowaniu

To pytanie zwykle nie pojawia się jako odrębna część, ale jako realizacja dwóch z dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2: polityka dostępu (część i) i szyfrowanie (część h). Klient chce wiedzieć, jak uniknąć, aby prywatny telefon lub domowy laptop stały się źródłem wycieku do systemów korporacyjnych. Wpisz to, co faktycznie posiadasz: MDM (mobile device management) na urządzeniach BYOD, obowiązkowe szyfrowanie dysku, wymóg VPN dla dostępu zdalnego oraz oddzielne profile do pracy i użytku prywatnego. Jeśli nie masz MDM, ale dysponujesz ograniczeniem technicznym — na przykład że dane korporacyjne są dostępne tylko za pośrednictwem portalu przeglądarki bez lokalnego przechowywania — to jest prawidłowa odpowiedź, a nie rozwiązanie awaryjne.

Jeśli polityka BYOD całkowicie się nie pojawia, czyli brak jakiegokolwiek technicznego lub organizacyjnego rozdzielenia między pracą prywatną a zawodową, wówczas "nie" jest prawidłową odpowiedzią. Lista bez regulacji BYOD zresztą nie stanowi automatycznie problemu: w Załączniku A normy ISO/IEC 27001 mieści się to w środkach kontroli punktów końcowych i dostępu, a wiele firm zmniejsza ryzyko, zezwalając na pracę z domu tylko za pośrednictwem urządzenia służbowego — wtedy nic dotyczącego BYOD nie podlega potwierdzeniu, za to dotyczącego polityki dostępu i zarządzania zasobami przedsiębiorstwa. Sprawdź również, czy coś jest ustalone dotyczące uwierzytelniania wieloskładnikowego przy dostępie do systemów korporacyjnych, ponieważ to pytanie zwykle pojawia się w tym samym bloku i byłoby inaczej podwójnie udzielane z sprzecznymi odpowiedziami.

Dokładne umieszczenie: artykuł 21 ust. 2, litery h i i

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia w literze h politykę dotyczącą kryptografii i szyfrowania, a w literze i bezpieczeństwo personelu, politykę dostępu i zarządzanie zasobami przedsiębiorstwa — obejmuje to urządzenia, za pośrednictwem których pracownicy uzyskują dostęp, a więc również prywatne telefony i laptopy do pracy z domu. W Cybersecurity Act, polskiej transpozycji tej dyrektywy, pojawia się dziesięć takich samych środków; ustawa wchodzi w życie dnia 15 sierpnia 2026 r. ISO/IEC 27001 Annex A rozwija to dalej w oddzielne środki kontroli dla urządzeń końcowych, pracy zdalnej i zarządzania dostępem, co wyjaśnia, dlaczego klienci czasami stawiają to jako jedno pytanie, a czasami jako trzy pytania osobne.