kund frågar hur vi hanterar åtkomst för externa leverantörer eller frilansare

Åtkomst för tredje parter faller under åtkomstkontrollpolicy, inte under supply chain management

Denna fråga hör till företagets åtkomstkontrollpolicy, inte till frågorna om själva leverantörer. Kunden vill veta hur du förhindrar att en freelancer eller extern part får mer rättigheter än nödvändigt, och hur du återkallar denna åtkomst när arbetet är klart. Gör det distinktionen själv också: en fråga om säkerhetskrav som du ställer på externa parter handlar om supply chain management, en fråga om hur dessa parter själva loggar in på dina system handlar om åtkomst. Enkäter blandar ofta detta, men det är två olika åtgärder från artikel 21 stycke 2 NIS2 och två olika Annex A-kapitel i ISO 27001.

Vad som konkret efterfrågas: har du en process för att bevilja, ändra och återkalla åtkomst (onboarding och offboarding), arbetar du med temporära eller utgångna konton för externa, och gäller principen om minsta behörighet — åtkomst endast till vad som är nödvändigt, inte till hela nätverket. Om externa får fjärråtkomst, efterfrågas ofta också om flerfaktorsautentisering är obligatorisk. Om du inte har en separat policy för externa parter, utan faller tillbaka på allmän åtkomstkontroll där ingen åtskillnad görs mellan egna anställda och tredje parter, är "nej" det ärliga svaret — ett delat lösenord eller ett konto som förblir aktivt efter att ett uppdrag är slutfört räknas inte som kontrollerad åtkomst.

Var det finns i riktlinjen och normen

Artikel 21 stycke 2 NIS2 nämner åtkomstkontrollpolicy och personalens säkerhet som två av de tio obligatoriska åtgärderna; ISO 27001 utvecklar detta under Annex A under åtkomstkontroll, med särskild uppmärksamhet på åtkomst av tredje parter och återkallande av denna vid avslutandet av avtalet.