de vil vide, hvordan vi sikrer hjemmearbejde

Sikkerhed for hjemmekontorarbejde falder ind under adgangskontrol og MFA

Spørgsmålet om hjemmekontorpladser er normalt ikke et selvstændigt tema, men en operationalisering af to bredere foranstaltninger fra artikel 21, stk. 2 NIS2: adgangspolitik (under e hører "politik og procedurer vedrørende brug af kryptografi" nogle gange også til som spørgsmål om VPN-kryptering) og godkendelse (under j, multi-faktor-godkendelse og sikret kommunikation). Kunder ønsker at vide konkret, om en hjemmekontorplads er lige så godt sikret som en kontorplads: er der obligatorisk VPN eller zero-trust-adgang, er MFA aktiveret for alle eksterne forbindelser, og findes der politik om, hvilke enheder (arbejdsbærbar computer kontra privat telefon) der må få adgang.

Hvis du ikke har fastsat dette eksplicit, er det mest ærligt svar "nej" med en forklaring: for eksempel at adgang til virksomhedssystemer alligevel kører via MFA, uafhængigt af medarbejderens placering. Det er ofte stærkere end et halvt udfyldt "ja" om en hjemmekontorpolitik, som ikke findes. Kontrollér først, om multifaktorautentificering for virksomhedssystemer allerede er fastsat — hvis det svar er "ja", dækker det allerede en stor del af dette spørgsmål, for de fleste kunder spørger til hjemmekontorarbejde netop for at kontrollere, om adgang stedsunafhængigt er reguleret korrekt. Hvis både VPN-politikken og MFA mangler, ligger svaret "nej" for hånden, eventuelt med en forklaring på, hvad der dog findes (for eksempel kun en politik for adgangskoder).

Hvor dette bliver mere konkret i Annex A af ISO 27001

ISO/IEC 27001 Annex A arbejder dette videre under kontrolforanstaltninger for "remote working" og adgangskontrol, og mange spørgselister fra banker og store aftagerere er direkte baseret på denne Annex A-inddeling — derfor at spørgsmålet ofte står adskilt fra NIS2-listen. Om en virksomhed kan sige noget struktureret herom, afhænger også af, om den selv falder ind under cybersikkerhedsloven; hvis det ikke er tilfældet, er et pragmatisk svar om den eksisterende situation tilstrækkeligt. Er du usikker på, om virksomheden falder ind herunder, skal du kontrollere hos om virksomheden falder ind under NIS2 eller national omzetting — det afgør, hvor tungt dette svar skal veje i det samlede billede af listen.