stranka sprašuje, kako delamo od doma in kako varujemo byod kaj vnesem

Delo od doma in BYOD spadajo pod politiko dostopa in kriptografijo

To vprašanje se običajno ne pojavi kot samostojni del, ampak kot razrada dveh od desetih ukrepov iz člena 21(2) direktive NIS2: politika dostopa (točka i) in kriptografija (točka h). Stranko zanima, kako preprečiš, da postane zasebni telefon ali domača prenosna naprava puščanje v poslovne sisteme. Navedite, kaj dejansko imate: MDM (upravljanje mobilnih naprav) na BYOD-napravah, obvezna šifriranje diska, obveznost VPN za oddaljeni dostop in ločeni profili za delo in zasebnost. Če nimate MDM, vendar imate tehnično omejitev – na primer da so poslovni podatki dostopni le prek spletnega portala brez lokalne shranjitve – je to veljaven odgovor, ne nujno rešitev.

Če BYOD-politika povsem manjka, torej niti tehnične niti organizacijske ločitve med zasebnostjo in delom, je »ne« pravilen odgovor. Seznam brez ureditve BYOD sicer ni samodejno težava: v Dodatku A standarda ISO/IEC 27001 to spada med nadzorne ukrepe za končne točke in dostop, in mnoga podjetja to tveganje zmanjšajo z dovoljenim delom od doma le preko poslovne naprave – takrat ni treba potrditi ničesar o BYOD, pač pa o politiko dostopa in upravljanje sredstev podjetja. Preverite tudi, ali je kaj določenega o večfaktorski avtentifikaciji pri dostopu do poslovnih sistemov, saj je to vprašanje pogosto v istem sklopu in se drugače odgovori dvakrat s si nasprotujočimi odgovori.

Kje se to točno nahaja: člen 21(2), točki h in i

Člen 21(2) direktive (EU) 2022/2555 omenja pod h politiko o kriptografiji in šifriranju ter pod i zaščito zaposlenih, politiko dostopa in upravljanje z osnovnimi sredstvi – med to spada oprema, s katero imajo dostop zaposleni, torej tudi zasebni telefoni in prenosne naprave za delo od doma. V Zakonu o kibernetski varnosti, slovenski implementaciji te direktive, se pojavljajo isti deset ukrepov; zakon začne veljati 15. avgusta 2026. Standard ISO/IEC 27001 Dodatek A to razširja na ločene nadzorne ukrepe za končne točke, delo od doma in upravljanje dostopa, kar pojasnjuje, zakaj stranke to včasih postavijo kot eno vprašanje in včasih kot tri ločena vprašanja.