Списъкът с въпроси пита как защитаваме работата от вкъщи и отдалечения достъп

Дистанционният достъп попада под политика за достъп и MFA

Въпросът за работата от вкъщи и дистанционния достъп обикновено представлява комбинация от две от десетте мерки от член 21, параграф 2 на NIS2: точка (i), политика за достъп и управление на активи, и точка (j), използването на многофакторна аутентификация. Клиентите, които питат за това отделно, искат да знаят как служител получава достъп до служебните системи от частна мрежа или собствен лаптоп и какви препятствия стоят на пътя му. VPN връзка сама по себе си не е отговор на този въпрос — става дума за комбинацията от шифрирана връзка, аутентификация и управление на устройства.

Конкретното доказателство обикновено се състои от три части: VPN или zero-trust конфигурация с шифриране, задължение за MFA, което важи и за външния достъп (не само за служебната мрежа), и преглед на кои устройства имат право на достъп — частни или служебни. Ако работи решение за управление на мобилни устройства, това е силен доказателствен материал. Ако липсва, то отговорът често е "не" на компонента управление на устройства, дори ако MFA е налице. В такъв случай попълнете за всеки компонент отделно какво е и не е уредено, вместо един обобщен "да" или "не" — това предотвратява неправилен "не" на въпрос, който всъщност е отчасти верен. Ако шифрирането на самия трафик е предмет на въпроса, то по-скоро трябва да се разглежда при политиката за криптография и криптиране отколкото при достъп. Ако се съмняваш в кой точно квадратчe попада това, провери също дали въпросът всъщност не е за политиката за достъп включително управление на активите отива — често всъщност две отделни подвопроса са упаковани в един ред.

Където се намира: член 21 параграф 2, буква i и j

Член 21 параграф 2 на Директива (EU) 2022/2555 посочва политика за достъп и управление на активите на предприятието като буква (i) и използване на многофакторна аутентификация или непрекъсната аутентификация като буква (j), наред с криптирането като буква (h). ISO/IEC 27001 Приложение A разработва това по-нататък в управленските мерки за контрол на достъпа и оборудване извън помещенията на предприятието. Законът за кибербезопасност приема това разделение, когато влезе в сила след 15 август 2026 г., поради което структурата на въпроса не се променя — но променя се това кой е длъжен да отговори.