Czy polityka dostępu jest udokumentowana, w tym zarządzanie zasobami przedsiębiorstwa?

Polityka dostępu i zarządzanie zasobami to dwie odrębne środki

To pytanie często łączy dwie rzeczy: politykę dostępu (kto może uzyskać dostęp do jakich systemów i jakich danych) oraz zarządzanie zasobami przedsiębiorstwa, zwane również zarządzaniem aktywami (wiedza na temat posiadanych urządzeń, systemów i nośników informacji oraz kto ponosi za nie odpowiedzialność). W artykule 21 ust. 2 dyrektywy NIS2 znajdują się obok siebie dwa z dziesięciu obowiązkowych środków, ale nie są to synonimy. Klient, który zadaje to jako jedno pytanie, zwykle chce wiedzieć, czy masz w porządku oba zagadnienia, a nie czy są one takie same.

Dla polityki dostępu istotne jest, czy istnieje procedura przydzielania i odwoływania uprawnień, czy jest powiązana z funkcjami, oraz czy uwierzytelnianie wieloskładnikowe jest używane dla systemów krytycznych. W przypadku zarządzania zasobami chodzi o aktualny przegląd sprzętu, oprogramowania i nośników informacji, w tym o to, kto jest właścicielem każdego zasobu i co się dzieje w przypadku wycofania lub zastąpienia urządzenia. Jeśli nie masz formalnie udokumentowanej polityki, ale masz działającą praktykę — na przykład zamkniętą listę użytkowników w systemie IAM, bez dołączonego dokumentu polityki — to "nie" na to pytanie jest często faktycznie bardziej trafne niż przedwczesne "tak". Brak dokumentu to coś innego niż brak samego środka, i to właśnie to rozróżnienie jest powodem, dla którego ta odpowiedź zwykle pozostaje w statusie "do ustalenia" do czasu, aż wiadomo, jaki dokument dowodowy oczekuje klient: dokument polityki, zrzut ekranu struktury uprawnień, czy oświadczenie.

Gdzie to znajduje się: artykuł 21 ust. 2 NIS2

Artykuł 21 ust. 2 dyrektywy (UE) 2022/2555 wymienia politykę kontroli dostępu i zarządzanie zasobami jako odrębne elementy wśród dziesięciu obowiązkowych środków, obok między innymi analiza ryzyka i polityka szyfrowania. Sama dyrektywa nie prescribes żadnego stałego formatu: sposób dokumentowania i wykazania tego przez przedsiębiorstwo zależy od przedsiębiorstwa i od tego, co klient zadający pytania akceptuje w swoim portalu jako dowód.