ο πελάτης ρωτά ποιοι προμηθευτές έχουν πρόσβαση στα συστήματα μας

Αυτή η ερώτηση συνδυάζει την ασφάλεια της αλυσίδας εφοδιασμού και τον έλεγχο πρόσβασης

Ο πελάτης θέλει στην πραγματικότητα να μάθει δύο πράγματα ταυτόχρονα: ποια εταιρείες προμηθειών έχουν τεχνική πρόσβαση στα συστήματα και αν η πολιτική πρόσβασης είναι υπό έλεγχο. Αυτό είναι άμεσα σχετικό η πολιτική πρόσβασης συμπεριλαμβανομένης της διαχείρισης των πόρων της επιχείρησης — εκεί προσδιορίζεται ποιος μπορεί να κάνει κάτι και με ποια δικαιώματα. Ένας προμηθευτής που συνδέεται από απόσταση σε ένα σύστημα, παρέχει υποστήριξη από απόσταση ή επεξεργάζεται δεδομένα σε μια δική του εφαρμογή, εμπίπτει σε αυτή την απάντηση.

Δεν αφορά μόνο τους παρόχους IT στην κλασική έννοια. Ένα λογιστικό γραφείο με πρόσβαση στο χρηματοοικονομικό σύστημα, ένας πάροχος φιλοξενίας, ένα εργαλείο SaaS που περιέχει δεδομένα πελατών: όλα αυτά είναι εξωτερικά μέρη με πρόσβαση. Το αν η ερώτηση επίσης καλύπτει τις απαιτήσεις που η ίδια η επιχείρηση θέτει σε αυτούς τους προμηθευτές — συμβατικά, τεχνικά, όσον αφορά το δικαίωμα ελέγχου — εξαρτάται από τη διατύπωση της ερωτηματολογίου. Συχνά πρόκειται για μια ξεχωριστή ερώτηση, η οποία συνδέεται με τις απαιτήσεις ασφάλειας που η επιχείρηση θέτει στους δικούς της προμηθευτές. Χωρίς ένα τρέχον περιγραφικό εξωτερικής πρόσβασης — ένα κατάλογο προμηθευτών με τον τύπο πρόσβασης ανά μέρος — δεν υπάρχει πηγαίο έγγραφο για να βασιστεί αυτή η απάντηση, και τότε η απάντηση δεν μπορεί να συμπληρωθεί.

Όπου αυτό βρίσκεται στα δέκα μέτρα

Η πολιτική πρόσβασης και η ασφάλεια της αλυσίδας εφοδιασμού είναι δύο ξεχωριστά μέτρα εντός των δέκα του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2: η ασφάλεια της αλυσίδας εφοδιασμού βρίσκεται στο σημείο δ, ο έλεγχος πρόσβασης και η διαχείριση των πόρων της επιχείρησης στο σημείο ι. Το ISO/IEC 27001 διαχωρίζει αυτό κατά παρόμοιο τρόπο στο Παράρτημα A, με ξεχωριστά μέτρα ελέγχου για σχέσεις προμηθευτών και για έλεγχο πρόσβασης. Όποιος λαμβάνει αυτή την ερώτηση από το Νόμο Κυβερνοασφάλειας, την ολλανδική μεταφορά του NIS2, μπορεί να περιμένει ότι και οι δύο προσεγγίσεις — ποιος έχει πρόσβαση και αν είναι ελεγμένο — θα εμφανιστούν χωριστά στη λίστα.