Как отговарям на въпроса относно безопасността при работа от вкъщи

Работата от дома попада под политиката на достъпа и MFA, не под отделен блок

Въпросът относно работата от дома обикновено не е самостоятелна тема, а разработка на две от десетте мерки от член 21, параграф 2 на NIS2: политика на достъпа (подточка i) и използването на многофакторна удостоверка или сравними защитени връзки (подточка j). Затова го не попълнявайте отделно, а последователно с това, което вече сте отговорили при политиката за достъп и управлението на активите и в въпроса относно многофакторната удостоверка. Ако отговорът там не съвпада с това, което казвате тук, това е първото нещо, което проверяващ ще забележи.

Конкретно клиентът обикновено иска да знае: логват ли се служителите чрез VPN или zero-trust връзка, е ли MFA задължителна на тази връзка, има ли политика на устройства за лични срещу служебни лаптопи, и има ли основно правило за публични мрежи. Ако нямате това като отделен документ на политиката, но като параграф в по-широк ICT регламент, това е достатъчно доказателство — цитирайте съответния раздел, не целия документ. Ако липсва един от четирите пункта, тогава не отговарям автоматично "не": посочете какво има (например MFA да, политика на устройства не) и оставете клиента самия да преценени следващия въпрос. Ако нямате нито един, тогава "не, все още не е формализирано" е фактически по-точно от половин "да", което не можете да обосновете.

Откъде идва това: член 21, параграф 2, подточки i и j

Член 21, параграф 2 на NIS2 споменава под i "политики и процедури по отношение на използването на криптография" — не, това е подточка h; подточка i се отнася до защита на персонала, политика на достъпа и управление на активи, а подточка j конкретно до използването на решения за многофакторна или непрекъсната удостоверка, криптирана комуникация и защитена аварийна комуникация в рамките на организацията. ISO/IEC 27001 Annex A разработва това по-нататък под контролите за дистанционна работа и достъп до мрежата. Законът за кибербезопасност превзема тази класификация без изменения, когда той влиза в сила на 15 август 2026 г., така че отговор, който вече сега е в съответствие с тези две подточки, остава използваем след тази дата.