kund frågar vilka leverantörer som har åtkomst till våra system

Den här frågan kombinerar leveranskedjans säkerhet och åtkomstkontroll

Kunden vill egentligen veta två saker samtidigt: vilka leverantörer som tekniskt har åtkomst till system, och om denna åtkomstpolicy är under kontroll. Det är direkt relevant åtkomstpolicyn inklusive hanteringen av företagstillgångar — där framgår vem som får göra vad och med vilka rättigheter. En leverantör som loggar in på distans på ett system, tillhandahåller fjärrsupport eller bearbetar data i en egen applikation faller under detta svar

Det handlar inte bara om IT-leverantörer i klassisk mening. Ett bokföringskontor med insyn i ekonomisystemet, en hostingleverantör, ett SaaS-verktyg som innehåller kunddata – det är alla externa parter med åtkomst. Huruvida frågan också omfattar de krav som företaget själv ställer på dessa leverantörer – avtalsmässigt, tekniskt, när det gäller revisionsrätt – beror på formuleringen i frågeformuläret. Ofta är det en separat fråga som ansluter till de säkerhetskrav som företaget ställer på sina egna leverantörer. Utan en aktuell överblick över extern åtkomst – en leverantörsförteckning med typ av åtkomst per part – finns det inget källdokument att basera detta svar på, och då kan svaret ännu inte fyllas i

Där det finns i de tio åtgärderna

Åtkomstpolicy och leveranskedjans säkerhet är två separata åtgärder inom de tio i artikel 21 punkt 2 i NIS2-direktivet: leveranskedjans säkerhet står i punkt d, åtkomstkontroll och hantering av företagstillgångar i punkt i. ISO/IEC 27001 delar upp detta på motsvarande sätt i Annex A, med separata kontrollåtgärder för leverantörsrelationer och för åtkomstkontroll. Den som får denna fråga från Cyberlagstiftningen, den nederländska implementeringen av NIS2, kan förvänta sig att båda dessa utgångspunkter – vem som har åtkomst och om det är kontrollerat – återkommer separat i listan