клиентът пита как регулираме достъпа за външни доставчици или freelancers

Достъпът на трети страни попада под политиката за достъп, а не под управление на веригата

Този въпрос принадлежи на политиката за достъп на предприятието, а не при въпросите относно самите доставчици. Клиентът иска да знае как предотвратявате даването на повече права на фрилансър или външна страна, отколкото е необходимо, и как отменяте този достъп, когато работата е завършена. Направете това разграничение и сами: въпрос за изискванията за сигурност, които поставяте на външни страни, е въпрос за управление на веригата, въпрос за това как сами се логват в ваши системи, е въпрос за достъп. Въпросниците често смесват това, но това са две различни мерки от член 21, параграф 2 NIS2 и два различни раздела на Приложение A в ISO 27001. управление на веригата, въпрос за това как сами се логват в ваши системи, е въпрос за достъп. Въпросниците често смесват това, но това са две различни мерки от член 21, параграф 2 NIS2 и два различни раздела на Приложение A в ISO 27001.

Конкретното, което се пита: имате ли процес за предоставяне, изменяне и отмяна на достъпа (onboarding и offboarding), работите ли с временни или изтекли акаунти за външни страни, и се прилага ли принципът на най-малкия привилегий — достъп само до необходимото, не до цялата мрежа. Когато външни страни получават дистанционен достъп, често се пита и дали многофакторната аутентификация е задължително. Ако нямате отделна политика за външни страни, но разчитате на общо управление на достъпа, в което не се прави разграничение между собствени служители и трети страни, тогава "не" е честният отговор — споделено парола или постоянно активен акаунт след завършване на задача не се счита за контролиран достъп.

Където това е посочено в директивата и стандарта

Член 21, параграф 2 NIS2 споменава политика за контрол на достъпа и сигурност на персонала като две от десетте задължителни мерки; ISO 27001 разработва това в Приложение A под контрол на достъпа, със специално внимание на достъпа от трети страни и отмяната му при прекратяване на договора.