kunde spørger, hvordan vi regulerer adgang for eksterne leverandører eller freelancere

Adgang for tredjeparter falder ind under adgangspolitik, ikke under supply chain management

Dette spørgsmål hører til virksomhedens adgangspolitik, ikke blandt spørgsmålene om leverandørerne selv. Kunden ønsker at vide, hvordan du forhindrer, at en freelancer eller ekstern part får flere rettigheder end nødvendigt, og hvordan du tilbagekalde denne adgang, når arbejdet er afsluttet. Gør selv den skelnen: et spørgsmål om de sikkerhedskrav, du stiller til eksterne parter, handler om supply chain management, et spørgsmål om, hvordan disse parter selv logger ind på dine systemer, handler om adgang. Spørgeskemaer blander dette ofte sammen, men det er to forskellige foranstaltninger fra artikel 21, stk. 2 NIS2 og to forskellige Annex A-kapitler i ISO 27001.

Hvad der konkret spørges til: har du en proces for tildeling, ændring og tilbagekaldelse af adgang (onboarding og offboarding), arbejder du med midlertidige eller udløbne konti for eksterne, og gælder least privilege-princippet — adgang kun til det nødvendige, ikke til hele netværket. Hvis eksterne får adgang på afstand, spørges der ofte også, om multifaktor-godkendelse er obligatorisk. Hvis du ikke har en separat politik for eksterne parter, men falder tilbage på generel adgangsstyring, hvori der ikke skelnes mellem egne medarbejdere og tredjeparter, er "nej" det ærlige svar — en delt adgangskode eller en vedvarende aktiv konto efter afslutning af en opgave tæller ikke som styret adgang.

Hvor det står i direktivet og normen

Artikel 21, stk. 2 NIS2 nævner adgangskontrolpolitik og personalesikkerhed som to af ti obligatoriske foranstaltninger; ISO 27001 udarbejder dette under Annex A under adgangskontrol, med særlig opmærksomhed på adgang fra tredjeparter og tilbagekaldelse heraf ved slutningen af kontrakten.