chtějí vědět, jak zabezpečujeme práci z domova

Zabezpečení práce z domova spadá pod řízení přístupu a MFA

Otázka na domácí pracovní místa obvykle není samostatné téma, ale rozpracování dvou širších opatření z článku 21 odstavec 2 NIS2: zásady přístupu (v rámci bodu e patří někdy také otázka na šifrování VPN jako součást „politiky a postupů týkajících se používání kryptografie") a ověřování totožnosti (v rámci bodu j, vícefaktorové ověřování a zabezpečená komunikace). Zákazníci si obvykle chcí ověřit konkrétně, zda je domácí pracovní místo chráněno stejně dobře jako pracovní místo v kanceláři: je povinný VPN nebo přístup na principu zero-trust, je MFA aktivována pro všechna externí připojení a existují zásady pro to, která zařízení (podnikový notebook versus osobní telefon) mohou mít přístup.

Pokud jste to výslovně nezaznamenali, nejupřímněji zní odpověď "ne" s vysvětlením: například že přístup k podnikovým systémům přechází přes MFA v každém případě, bez ohledu na místo, kde se zaměstnanec nachází. To je často silnější než částečně vyplněné "ano" ohledně zásad pro práci z domova, které neexistují. Nejdřív zkontrolujte, zda vícefaktorová autentizace pro firemní systémy již bylo zaznamenáno — pokud je odpověď "ano", pokrývá to už velkou část této otázky, protože většina zákazníků se ptá na práci z domova právě proto, aby ověřila, zda je přístup nezávislý na místu řádně upraven. Chybí-li jak zásady VPN, tak MFA, leží odpověď "ne" na ruce, případně s vysvětlením, co je zavedeno (například jen zásady pro hesla).

Kde se to konkrétněji rozpracovává v příloze A normy ISO 27001

ISO/IEC 27001 Příloha A to rozpracovává dále v opatřeních k řízení v oblasti "práce na dálku" a řízení přístupu, a mnoho seznamů otázek od bank a velkých zákazníků je přímo založeno na třídění přílohy A — proto se otázka často objevuje samostatně mimo prvních deset NIS2. Zda se podnik může k tomuto tématu vyjádřit strukturovaně, závisí také na tom, zda sám podléhá Zákonu o kybernetické bezpečnosti; pokud ne, postačuje pragmatická odpověď o stávajícím stavu. Pokud si nejste jisti, zda podnik podléhá zda podnik podléhá NIS2 nebo její národní transpozici — to určuje, jak zásadně musí být tato odpověď zohledněna v celkovém obrazu seznamu.