Ali je politika dostopa dokumentirana, vključno s upravljanjem poslovnih sredstev?

Dostopna politika in upravljanje sredstev sta dve ločeni ukrepi

To vprašanje pogosto preplete dve stvari: dostopna politika (kdo sme dostopati do katerega sistema in katerih podatkov) in upravljanje poslovnih sredstev, znano tudi kot upravljanje sredstev (vedeti, katere naprave, sisteme in nosilce podatkov imate, in kdo je odgovoren za njih). V členu 21(2) Direktive NIS2 sta ti dve od desetih obveznih ukrepov navedeni druga ob drugi, vendar nista sinonima. Odjemalec, ki to postavlja kot eno vprašanje, običajno želi vedeti, ali oba področja ustrezata, ne pa ali sta isto.

Za dostopno politiko je relevantno, ali obstaja postopek za dodeljevanje in odvzem pravic, ali je to povezano s funkcijami, in ali večfaktorska avtentifikacija se uporablja za kritične sisteme. Pri upravljanju sredstev gre za trenutni pregled strojne in programske opreme ter nosilcev podatkov, vključno s tem, kdo je lastnik vsakega sredstva in kaj se zgodi ob upokojevanju ali zamenjavi opreme. Če nemaš formalno urejenega belaja, vendar delujočo prakso — na primer zajetno listo uporabnikov v sistemu IAM brez priloženega belaja — je »ne« na to vprašanje pogosto dejansko bolj pravilno kot preuranjena »ja«. Pomanjkanje dokumenta je kaj drugega kot odsotnost samega ukrepa, in ta razlika je natanko razlog, zakaj ta odgovor običajno ostane pri »še se mora določiti«, dokler ne veš, kateri dokaz pričakuje odjemalec: dokument s politiko, posnetka zaslona pravic strukture ali izjave.

Kjer je to navedeno: člen 21(2) Direktive NIS2

Člen 21(2) Direktive (EU) 2022/2555 navaja nadzor dostopa in upravljanje sredstev kot ločena elementa med desetimi obveznimi ukrepi, skupaj s pa primer analizo tveganja in politiko šifriranja. Sama direktiva ne predpisuje nobenega fiksnega formata: kako podjetje to uredi in dokaže, je na podjetju samem in na tem, kaj zahtevana stranko v svojem portalu sprejema kot dokazilo.