Er adgangspolitikken fastsat, herunder håndtering af virksomhedsaktiver?

Adgangspolitik og aktivforvaltning er to separate foranstaltninger

Dette spørgsmål blander ofte to ting sammen: adgangspolitik (hvem må få adgang til hvilket system og hvilke data) og forvaltning af virksomhedsmidler, også kaldet aktivforvaltning (at vide, hvilke enheder, systemer og informationsbærere du har, og hvem der er ansvarlig for dem). I artikel 21 stk. 2 i NIS2-direktivet står disse som to af ti obligatoriske foranstaltninger ved siden af hinanden, men de er ikke synonymer. En kunde, der stiller dette som ét spørgsmål, ønsker normalt at vide, om du har styr på begge dele, ikke om de er det samme.

For adgangspolitik er det relevant, om der er en procedure for tildeling og tilbagekaldelse af rettigheder, om det er knyttet til funktioner, og om multifaktor-godkendelse bruges til kritiske systemer. For aktivforvaltning handler det om en aktuel oversigt over hardware, software og informationsbærere, herunder hvem der er ejer af hver ressource, og hvad der sker ved afskedigelse eller udskiftning af udstyr. Hvis du ikke har et formelt fastlagt beleid men en fungerende praksis — for eksempel en tæt brugerlist i et IAM-system uden at der hænger et beleidsdokument på — er "nej" på dette spørgsmål ofte faktisk mere korrekt end et forhasteligt "ja". Fraværet af et dokument er noget helt tredje end fraværet af selve foranstaltningen, og det er præcis denne sondring, der gør, at dette svar normalt forbliver "stadig at bestemmes", indtil du ved, hvilket bevisstykke kunden forventer: et beleidsdokument, et skærmbillede af rettigheds strukturen, eller en erklæring.

Hvor dette er angivet: artikel 21 stk. 2 NIS2

Artikel 21 stk. 2 i Direktiv (EU) 2022/2555 nævner adgangskontrolbeleid og aktivforvaltning som separate elementer inden for de ti obligatoriske foranstaltninger, sammen med blandt andet risikovurdering og krypteringsbeleid. Direktivet selv foreskriver ikke et fast format: hvordan en virksomhed dokumenterer og demonstrerer dette, er op til virksomheden og hvad den spurgende kunde accepterer som bevis i sit eget portal.