vprašalnik sprašuje, kako varujemo delo od doma in oddaljeni dostop

Oddaljen dostop spada pod politiko dostopa in MFA

Vprašanje o delu od doma in oddaljenem dostopu je običajno kombinacija dveh od desetih ukrepov iz člena 21(2) Direktive NIS2: točke (i), politika dostopa in upravljanje poslovnih sredstev, in točke (j), uporaba večfaktorske avtentifikacije. Odjemalci, ki to vprašajo posebej, želijo vedeti, kako zaposlenih pridobi dostop do poslovnih sistemov iz zasebnega omrežja ali lastnega prenosnika ter katere ovire so pri tem. Sama VPN-povezava ni odgovor na to vprašanje — gre za kombinacijo šifriranega povezovanja, avtentifikacije in upravljanja naprav.

Konkretni dokaz običajno sestoji iz treh delov: VPN- ali ničelne-zaupanja-konfiguracije s šifriranjem, obveznosti MFA, ki velja tudi za zunanji dostop (ne le za poslovno omrežje), in pregleda, kateri aparati smejo dobiti dostop — zasebni ali poslovni. Če se izvaja rešitev Mobile Device Management, je to močan dokaz. Če to manjka, je odgovor pogosto »ne« glede upravljanja naprav, tudi če je MFA prisoten. Izpolnite nato za vsak del posebej, kaj je in kaj ni urejeno, namesto enega povzetega »da« ali »ne« — to prepreči nepravilno »ne« pri vprašanju, ki je v resnici polovično pravilno. Če je predmet vprašanja šifriranje samega prometa, to spada bolj k politiko glede kriptografije in šifriranja kot k dostopu. Če dvomiš, katero okence natanko to zadeva, preveri tudi, ali vprašanje pravzaprav zadeva politiko dostopa, vključno z upravljanjem poslovnih sredstev — pogosto sta namreč dve ločeni podvprašanji pakirani v eno vrstico.

Kje je to: člen 21(2), točki i in j

Člen 21(2) Direktive (EU) 2022/2555 navaja politiko dostopa in upravljanje poslovnih sredstev kot točko (i) ter uporabo večfaktorske avtentifikacije ali neprekinjene avtentifikacije kot točko (j), poleg šifriranja kot točko (h). ISO/IEC 27001 Prilog A to nadaljuje z varnostnimi ukrepi za nadzor dostopa in opremo izven poslovnih prostorov. Zakon o kibernetski varnosti bo to razdelitev prevzel, ko stopi v veljavo po 15. avgustu 2026, zato se struktura vprašanja takrat ne spremeni — spremenilo se bo le, kdo je dolžan nanj odgovoriti.