Je política přístupu dokumentována, včetně správy firemních prostředků?

Zásada přístupu a správa majetku jsou dvě oddělená opatření

Tato otázka často spojuje dvě věci dohromady: zásadu přístupu (kdo má přístup ke kterému systému a kterým datům) a správu majetku podniku, také nazývanou správou aktiv (vědět, jaká zařízení, systémy a informační média máte, a kdo za ně nese odpovědnost). V článku 21 odst. 2 směrnice NIS2 stojí tato dvě z deseti povinných opatření vedle sebe, ale nejsou to synonyma. Zákazník, který to položí jako jednu otázku, obvykle chce vědět, zda máte obě věci v pořádku, ne zda jsou totožné.

Pro zásadu přístupu je relevantní, zda existuje postup pro udělování a odvolávání práv, zda je to navázáno na funkce, a zda vícefaktorové ověřování se používá pro kritické systémy. V případě správy majetku jde o aktuální přehled hardwaru, softwaru a informačních nosičů, včetně toho, kdo je vlastníkem každého prostředku a co se stane při vyřazení nebo výměně zařízení. Nemáš-li formálně stanovenou politiku, ale máš fungující praxi — například uzavřenou seznam uživatelů v systému IAM, aniž by jej doprovázelo dokumentum politiky — pak je odpověď "ne" na tuto otázku často fakticky správnější než předčasné "ano". Absence dokumentu je něco jiného než absence samotného opatření, a právě tento rozdíl je důvodem, proč tato odpověď obvykle zůstane "ještě k určení" dokud nevíš, jaký důkazní materiál klient očekává: dokument politiky, snímek obrazovky struktur oprávnění, nebo prohlášení.

Kde se to nachází: článek 21 odstavec 2 NIS2

Článek 21 odstavec 2 Směrnice (EU) 2022/2555 uvádí kontrolu přístupu a správu majetku jako samostatné složky v rámci deseti povinných opatření, mimo jiné analýza rizik a šifrovací politika. Samotná směrnice neurčuje žádný pevný formát: jak si podnik tuto problematiku zaznamená a prokáže, je na podniku a na tom, co si dotazující zákazník ve svém vlastním portálu jako důkaz akceptuje.