kunde spørger, hvilke leverandører der har adgang til vores systemer

Dette spørgsmål kombinerer kædeværn og adgangskontrol

Kunden ønsker her egentlig at vide to ting på samme tid: hvilke leverandører der teknisk set har adgang til systemer, og om denne adgangspolitik er under kontrol. Det rammer direkte adgangspolitikken, herunder forvaltningen af virksomhedsaktiver — der fremgår det, hvem der må gøre hvad, og med hvilke rettigheder. En leverandør, der logger ind på distancen til et system, leverer fjernunderstøttelse, eller behandler data i en egen applikation, falder ind under dette svar.

Det handler ikke kun om it-leverandører i klassisk forstand. Et bogholderikantoor med indsigt i det økonomiske system, en hostingudbyder, et SaaS-værktøj, hvor kundedata gemmes: det er alle sammen eksterne parter med adgang. Om spørgsmålet også tager stilling til de krav, som virksomheden selv stiller til disse leverandører — kontraktmæssigt, teknisk, hvad angår revisionsret — afhænger af formuleringen i spørgeskemaet. Ofte er det et særskilt spørgsmål, der knytter an til de sikkerhedskrav, som virksomheden stiller til sine egne leverandører. Uden et aktuelt oversigt over ekstern adgang — en leverandørliste med adgangstypen for hver part — findes der intet kildedokument at basere dette svar på, og så kan svaret ikke udfyldes endnu.

Hvor det står i de ti foranstaltninger

Adgangspolitik og kædeværn er to særskilte foranstaltninger inden for de ti i artikel 21, stk. 2, i NIS2-direktivet: kædeværn optræder i punkt d, adgangskontrol og forvaltning af virksomhedsaktiver i punkt i. ISO/IEC 27001 opdeler dette på samme måde i Annex A, med særskilte kontrolforanstaltninger for leverandørrelationer og for adgangskontrol. Den, der får dette spørgsmål fra Cybersikkerhedsloven, den danske gennemførelse af NIS2, kan forvente, at begge tilgangsvinkler — hvem der har adgang, og om det er kontrolleret — kommer tilbage separat i listen.