питат кой има достъп до техните данни

Политика за достъп, не списък с имена

Клиентът обикновено не иска да знае кой конкретен човек влиза в системата, а дали съществува система, която регламентира кой има достъп откъде. Това попада под управление на достъпа: кой има достъп до кои системи и данни, въз основа на каква роля, и как се предоставя и отнема този достъп. Отговорът следователно се состои от две части: политиката (как се предоставя достъпът, преразглежда и отнема при напускане на работата) и практиката (работи ли се с ролеви права, принцип на най-малкия привилегий, периодична проверка кой все още има достъп).

Ако няма отделен документ на политика за достъп, но практиката е в ред — например роли в система, установен процес при прием и отпускане — това често е достатъчно да се отговори с "да", при условие че това наистина е доказуемо. Ако липсват и двете, то "не" е честният отговор; предложение на въпрос по това като "да" без източник в досието на веригата не се случва. Свързаните въпроси в същия списък често се отнасят до многофакторната аутентификация за корпоративни системи и за политика за анализ на риска и защита на информационните системи — двете са тясно свързани по съдържание, защото достъпът е обикновено една от мерките за управление, което произтича от анализа на риска.

Подлежи на член 21, параграф 2 и Приложение А

Управлението на достъпа е една от десетте мерки по член 21, параграф 2 на Директива NIS2 (Директива (EU) 2022/2555): тя изрично посочва политика за контрол на достъпа и управление на корпоративните средства като задължителна част от управлението на риска. В ISO/IEC 27001 това се отразява в мерките за управление от Приложение A, под категорията контрол на достъпа. Клиентите, които сами попадат под Закона за кибербезопасност — нидерландската трансформация на NIS2, която влиза в сила на 15 август 2026 г. — затова все по-често стандартно поставят този въпрос на своите доставчици, дори ако те сами още не са определени като субект по директивата.