cliente pergunta como regulamos o acesso para fornecedores externos ou freelancers

O acesso de terceiros está incluído na política de acesso, não na gestão da cadeia

Esta pergunta está relacionada com a política de acesso da empresa, não com as perguntas sobre os próprios fornecedores. O cliente quer saber como você evita que um freelancer ou terceiro obtenha mais direitos do que o necessário, e como você revoga esse acesso assim que o trabalho estiver concluído. Faça essa distinção por conta própria: uma pergunta sobre os requisitos de segurança que você impõe a terceiros diz respeito a gestão da cadeia, uma pergunta sobre como essas partes fazem login nos seus sistemas diz respeito ao acesso. Os questionários costumam misturar isso, mas são duas medidas diferentes do artigo 21.º, n.º 2 da NIS2 e dois capítulos diferentes do Anexo A da ISO 27001.

O que é concretamente perguntado: você tem um processo para concessão, modificação e revogação de acesso (integração e desativação), você trabalha com contas temporárias ou expiradas para externos, e o princípio do menor privilégio é aplicado — acesso apenas ao necessário, não a toda a rede. Se os externos obtêm acesso remoto, também é frequentemente perguntado se autenticação multifator é obrigatório. Se você não tem uma política separada para terceiros, mas recorre a gestão de acesso geral em que não é feita distinção entre funcionários próprios e terceiros, então "não" é a resposta honesta — uma senha compartilhada ou uma conta que continua ativa após a conclusão de uma tarefa não conta como acesso controlado.

Onde consta na directiva e na norma

O artigo 21.º, n.º 2 da NIS2 menciona política de controlo de acesso e segurança do pessoal como duas das dez medidas obrigatórias; a ISO 27001 desenvolve isto no Anexo A sob controlo de acesso, com atenção específica ao acesso por terceiros e à sua revogação no final do contrato.