Zákazník sa pýta, ako riešime prístup pre externých poskytovateľov alebo freelancerov

Prístup tretích strán spadá pod politiku prístupu, nie pod správu reťazca

Táto otázka patrí k politike prístupu podniku, nie k otázkam o samotných dodávateľoch. Zákazník chce vedieť, ako zabrániaš tomu, aby si freelancer alebo externá strana získala viac práv, ako je potrebné, a ako si tieto práva odvolal po ukončení práce. Rozlíš to sám: otázka o bezpečnostných požiadavkách, ktoré si kladieš na externé strany, je o správe reťazca, otázka o tom, ako sa tieto strany sami prihlasujú do tvojich systémov, je o prístupe. Zoznamy otázok to často miešajú, ale ide o dve rôzne opatrenia z článku 21 ods. 2 NIS2 a dve rôzne kapitoly Prílohy A v ISO 27001.

Čo sa konkrétne pýta: máš postup na udelenie, zmenu a odvolanie prístupu (onboarding a offboarding), pracuješ s dočasnými alebo expirovanými účtami pre externých používateľov a aplikuješ princíp najmenších práv — prístup iba k tomu, čo je potrebné, nie k celej sieti. Keď externí používatelia získajú vzdialený prístup, často sa pýta aj na to, či viacfaktorové overovanie je povinný. Ak nemáš samostatnú politiku pre externe strany, ale spoliehaš sa na všeobecnú správu prístupu, v ktorej sa nedistinguuje medzi vlastnými zamestnancami a tretími stranami, potom je "nie" čestná odpoveď — zdieľané heslo alebo trvalý aktívny účet po ukončení projektu sa nepočítajú ako kontrolovaný prístup.

Kde je to uvedené v smernici a norme

Článok 21 ods. 2 NIS2 spomína politiku kontroly prístupu a bezpečnosť personálu ako dve z desiatich povinných opatrení; ISO 27001 to rozpracúva v Prílohe A pod kontrolou prístupu so špecifickou pozornosťou na prístup tretích strán a jeho odvolanie na konci zmluvy.