sprašujejo, kdo ima dostop do njihovih podatkov

Pravilnik o dostopu, ne seznam oseb

Naročnik navadno ne želi vedeti, katera posamezna oseba se prijavi, ampak ali obstaja sistem, ki ureja, kdo kam sme dostopati. To spada pod upravljanje dostopa: kdo ima dostop do katerih sistemov in podatkov, na podlagi katere vloge, in kako se ta dostop dodeli ter ponovno odvzame. Odgovor je torej sestavljen iz dveh delov: pravilnika (kako se dostop dodeli, pregleda, odvzame pri koncu delovnega razmerja) in praksa (se deluje z vlogami temelječimi pravicami, načelom najmanjših pravic, periodičnim pregledom, kdo ima še dostop).

Če ni posebnega dokumenta o pravilniku dostopa, vendar je praksa v redu — na primer vloge v sistemu, fiksni proces ob началу in koncu delovnega razmerja — je to pogosto dovolj, da odgovorite z »da«, seveda le, če je tudi resnično dokazljivo. Če manjka oboje, je »ne« pošten odgovor; vprašanja o tem ne predlagamo kot »da« brez vira v datoteki verige. Povezana vprašanja na istem seznamu pogosto pokrivajo večfaktorska avtentifikacija za poslovne sisteme in o pravilnik za analizo tveganja in varnost informacijskih sistemov — ta dva sta vsebinsko povezana, saj je dostop ponavadi ena od zaščitnih ukrepov, ki izhajajo iz analize tveganja.

Mogoče je slediti členu 21(2) in Prilogo A

Upravljanje dostopa je ena od desetih ukrepov iz člena 21(2) Direktive NIS2 (Direktiva (EU) 2022/2555): izrecno omenja pravilnik za nadzor dostopa in upravljanje poslovnih sredstev kot obvezni del upravljanja tveganja. V ISO/IEC 27001 se to pojavi v zaščitnih ukrepih Prilogo A, v kategoriji nadzora dostopa. Naročniki, ki sami padejo pod Zakon o kibernetski varnosti — nizozemska implementacija direktive NIS2, ki начнет veljati 15. avgusta 2026 — zato to vprašanje čedalje pogosteje vnaprej postavljajo svojim dobaviteljem, tudi če sami še niso določeni kot subjekt pod direktivo.