Este consemnată politica de acces, inclusiv gestiunea activelor întreprinderii?

Politica de acces si gestionarea activelor sunt doua masuri distincte

Aceasta intrebare combina adesea doua lucruri: politica de acces (cine are acces la ce sistem si ce date) si gestionarea activelor, cunoscuta si sub denumirea de asset management (sa stii ce dispozitive, sisteme si purtatori de informatii ai, si cine este responsabil pentru acestea). In articolul 21 alineat 2 din Directiva NIS2 acestea sunt doua dintre cele zece masuri obligatorii una langa cealalta, dar nu sunt sinonime. Un client care pune aceasta ca o singura intrebare doreste de obicei sa stie daca ai ambele in ordine, nu daca sunt identice.

Pentru politica de acces este relevant daca exista o procedura pentru acordarea si retragerea drepturilor, daca aceasta este legata de functii, si daca autentificare multifactor se utilizeaza pentru sistemele critice. Pentru gestionarea activelor este vorba despre o vedere actualizata a hardware-ului, software-ului si purtatorilor de informatii, inclusiv cine este proprietarul fiecarui activ si ce se intampla in cazul pensionarii sau inlocuirii echipamentelor. Daca nu ai o politica formala stabilita dar ai o practica functionala — de exemplu o lista de utilizatori coerenta intr-un sistem IAM, fara sa fie atata un document de politica — atunci "nu" la aceasta intrebare este adesea mai corect din punct de vedere factual decat un "da" prematur. Absenta unui document este altceva decat absenta masurii in sine, si aceasta distinctie este exact de ce acest raspuns ramane de obicei la "inca de determinat" pana cand stii ce document de dovada asteapta clientul: un document de politica, o captura de ecran a structurii drepturilor, sau o declaratie.

Unde se gaseste aceasta: articolul 21 alineat 2 NIS2

Articolul 21 alineat 2 din Directiva (UE) 2022/2555 enumera politica de control al accesului si gestionarea activelor ca elemente distincte in cadrul celor zece masuri obligatorii, alaturi de, printre altele, analiza riscurilor și politica de criptare. Directiva insasi nu prescrie un format fix: modul in care o intreprindere stabileste si demonstreaza aceasta este la discretia intreprinderii si la ceea ce clientul care pune intrebarea accepta ca dovada in propriul sau portal.