Как отговарям на въпроса относно VPN и защитения достъп от разстояние

Въпросът надвишава само VPN

VPN е една техника, но самият въпрос се отнася до защитата на отдалечения достъп като цяло. Това попада под точка (i) от десетте мерки в член 21, параграф 2 на NIS2: защита на персонала, политика на достъпа и управление на активите на предприятието. Клиент, който пита за "защитен отдалечен достъп", обикновено желае да знае дали има VPN или подобна криптирана връзка, или дали многофакторното удостоверяване е задължително, и дали достъпът е ограничен до необходимото за неговата функция. Отговорете следователно не само "да, използваме VPN" — добавете дали това е задължително за целия външен достъп, и дали има времево ограничение или автоматично излизане.

Ако нямаш VPN, но имаш друг механизъм — решение за нулева доверие, шлюз с удостоверяване чрез сертификат, облачна среда без локална мрежа — тогава "не" на буквалния VPN въпрос не е грешен, но е непълен. В този случай опишете какво се използва вместо това, тъй като портальът на вашия клиент всъщност пита за целта (криптиран, контролиран достъп), а не за конкретния продукт. Ако многофакторното удостоверяване липсва при отдалечения достъп, това е отделен въпрос, който често се появява отново в списъка, вижте се използва ли многофакторно удостоверяване за достъп до системите на предприятиетоАко нямаш документирано кой може да влиза отдалечено и с какви права, това засяга и по-широкия въпрос за политиката на достъпа, вижте е ли определена политиката за достъп, включително управлението на активите.

Където това е посочено в директивата и стандарта

Член 21, параграф 2, точка i на Директива (EU) 2022/2555 посочва защитата на персонала, политиката на достъпа и управлението на активите на предприятието като една от десетте задължителни мерки; отдалеченият достъп попада в тази категория. ISO/IEC 27001 Приложение A разработва това по-нататък със специфични мерки за контрол на достъпа и защита на мрежата, където употребата на VPN обикновено се документира. Законът за киберсигурност, нидерландското преноситься на NIS2, влиза в сила на 15 август 2026 г. и установява същите десет мерки за субектите, попадащи под закона.