Vprašalnik želi vedeti, kako reguliramo dostop do sistemov, kaj odgovorim

Nadzor dostopa se vrti okrog avtorizacije, preverjanja istovetnosti in beleženja

To vprašanje spada pod politiko nadzora dostopa, večina vprašalnikov pa ga deli na tri dele: kako se dostop odobri in prekliče (avtorizacija), kako se preveri istovetnost uporabnika (avtentifikacija), in ali se beleži, kdo je kdaj dostopal do katerega sistema (beleženje). Popoln odgovor omeni vse tri. Za avtorizacijo je običajen odgovor, da se dostop odobri na podlagi funkcije ali vloge, da se pravice pregledajo pri spremembi funkcije ali prenehanju delovnega razmerja, in da obstaja periodični pregled aktivnih računov. Če ni trdnega postopka, vendar se dostop vseeno ročno in omejeno odobri, je realen odgovor "deloma" s kratkim pojasnilom, ne "da".

Za avtentifikacijo se pogosto posebej sprašuje, ali se večfaktorska avtentifikacija uporablja za dostop do poslovnih sistemov — to je samostojen odgovor, tudi če je politika dostopa sicer v redu. Za beleženje je dokazni dokument običajno izvoz iz sistema za upravljanje identitete in dostopa ali posnetek zaslona strukture vlog; politični dokument brez osnovnega sistema redko prepriča. Če ta dokaz manjka, je "ne, še ni formalizirano" državen odgovor — tveganje je v "da" brez dokumenta za njim.

Sledljivo k členu 21 odstavek 2 in Prilogom A

Nadzor dostopa je posebej navedena ukrep v členu 21 odstavek 2 Direktive NIS2, ob strani širše zahteve, da je politika dostopa, vključno z upravljanjem poslovnih sredstev dokumentirana. V ISO/IEC 27001 se enaka zahteva pojavi v Prilogom A, med nadzornimi ukrepi za nadzor dostopa; kdor je za to področje že certificiran, lahko ta certifikat predloži kot dokazni dokument namesto da zbira ločene dokumente.