клиентът пита как защитаваме домашната работа и BYOD какво трябва да попълня

Работата от вкъщи и BYOD попадат под политиката за достъп и криптография

Този въпрос обикновено не се явява като отделна част, а като разработка на две от десетте мерки от член 21, параграф 2 на NIS2: политика за достъп (точка i) и криптография (точка h). Клиентът иска да знае как предотвращавате течане на личен телефон или домашен лаптоп към корпоративни системи. Попълнете какво реално имате: MDM (управление на мобилни устройства) на BYOD устройства, задължително шифриране на диска, VPN задължение за отдалечен достъп и отделни профили за работа и личен живот. Ако нямате MDM, но имате технически ограничение - например че корпоративните данни са достъпни само чрез портал в браузър без локално съхранение - това е валиден отговор, не паллиатив.

Ако липсва напълно политика за BYOD, т.е. няма техническо или организационно разделяне между личен и работен живот, то "не" е правилният отговор. Списък без регулиране на BYOD не е автоматично проблем: в Приложение А на ISO/IEC 27001 това попада под контролни мерки за крайни точки и достъп, и много компании намаляват риска, като разрешават работа от вкъщи само чрез служебно устройство - тогава няма нищо за потвърждение относно BYOD, а само относно политиката за достъп и управлението на активите. Проверете също дали има нещо установено относно многофакторна аутентификация при достъп до корпоративни системи, защото този въпрос често се появява в същия блок и в противен случай получава двоен отговор с противоречиви резултати.

Точното място: член 21, параграф 2, точки h и i

Член 21, параграф 2 на Директива (ЕС) 2022/2555 посочва под h политиката за криптография и шифриране, а под i защита на персонала, политика за достъп и управление на корпоративни средства - включително оборудването, чрез което служителите получават достъп, т.е. и личните телефони, и домашните работни лаптопи. В Закона за кибербезопасност, холандската трансформация на тази директива, се появяват същите десет мерки; законът влиза в сила на 15 август 2026 г. ISO/IEC 27001 Приложение А разработва това допълнително в отделни контролни мерки за оборудване на крайни точки, телеработа и управление на достъпа, което обяснява защо клиентите понякога го задават като един въпрос и понякога като три отделни въпроса.