pytają, kto ma dostęp do ich danych

Polityka dostępu, a nie lista nazwisk

Klient zwykle nie chce tutaj wiedzieć, która konkretna osoba się loguje, ale czy istnieje system, który reguluje, kto ma dostęp dokąd. To podlega zarządzaniu dostępem: kto ma dostęp do których systemów i danych, na podstawie jakiej roli oraz jak jest to przyznawane i odwoływane. Odpowiedź składa się zatem z dwóch części: polityka (jak dostęp jest przyznawany, przeglądany, odwoływany przy rozwiązaniu stosunku pracy) i praktyka (czy pracuje się z uprawnieniami opartymi na rolach, najmniejszych uprawnień, okresową kontrolą, kto wciąż ma dostęp).

Jeśli nie ma oddzielnego dokumentu polityki dostępu, ale praktyka jest w porządku — na przykład role w systemie, ustalony proces przy zatrudnianiu i zwolnieniu — to często wystarczy, aby odpowiedzieć "tak", pod warunkiem że jest to naprawdę udowodnione. Jeśli brakuje obu, to "nie" jest szczerą odpowiedzią; proponowanie pytania na ten temat jako "tak" bez źródła w pliku łańcucha nie ma miejsca. Powiązane pytania na tej samej liście często dotyczą uwierzytelnianie wieloskładnikowe dla systemów biznesowych oraz polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych — te dwie należą do siebie merytorycznie, ponieważ dostęp jest zwykle jedną z miar kontrolnych wynikających z analizy ryzyka.

Można to powiązać z artykułem 21 ust. 2 i Załącznikiem A

Zarządzanie dostępem jest jednym z dziesięciu środków zawartych w artykule 21 ust. 2 dyrektywy NIS2 (Dyrektywa (UE) 2022/2555): wyraźnie wymienia politykę kontroli dostępu i zarządzania zasobami biznesowymi jako obowiązkową część zarządzania ryzykiem. W ISO/IEC 27001 pojawia się to w środkach kontrolnych w Załączniku A, w kategorii kontrola dostępu. Klienci, którzy sami podlegać będą ustawie o cyberbezpieczeństwie — holenderskiej implementacji NIS2, która wchodzi w życie 15 sierpnia 2026 r. — dlatego coraz częściej zadają to pytanie standardowo swoim dostawcom, nawet jeśli sami nie zostali jeszcze wskazani jako jednostka na mocy dyrektywy.