Τεκμηριώνεται η πολιτική πρόσβασης, συμπεριλαμβανομένης της διαχείρισης των εταιρικών περιουσιακών στοιχείων;

Η πολιτική πρόσβασης και η διαχείριση περιουσιακών στοιχείων είναι δύο ξεχωριστά μέτρα

Αυτή η ερώτηση συχνά συνδυάζει δύο πράγματα: την πολιτική πρόσβασης (ποιος μπορεί να έχει πρόσβαση σε ποιο σύστημα και ποια δεδομένα) και τη διαχείριση περιουσιακών στοιχείων, γνωστή και ως διαχείριση ενεργητικού (να γνωρίζετε ποια устройства, συστήματα και φορείς πληροφοριών έχετε και ποιος είναι υπεύθυνος για αυτά). Στο άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αυτά είναι δύο από τα δέκα υποχρεωτικά μέτρα δίπλα-δίπλα, αλλά δεν είναι συνώνυμα. Ένας πελάτης που θέτει αυτό ως ενιαία ερώτηση, συνήθως θέλει να γνωρίζει αν έχετε και τα δύο σε τάξη, όχι αν είναι το ίδιο.

Για την πολιτική πρόσβασης είναι σχετικό εάν υπάρχει διαδικασία για την παραχώρηση και ανάκληση δικαιωμάτων, εάν συνδέεται με ρόλους, και αν η πολυπλέκτορη ταυτοποίηση χρησιμοποιείται για κρίσιμα συστήματα. Για τη διαχείριση περιουσιακών στοιχείων, αφορά ένα τρέχον ευρετήριο υλικού, λογισμικού και φορέων πληροφοριών, συμπεριλαμβανομένου ποιος είναι ιδιοκτήτης κάθε περιουσιακού στοιχείου και τι συμβαίνει κατά την αποχώρηση ή αντικατάστασης του εξοπλισμού. Αν δεν έχετε τυπικά τεκμηριωμένη πολιτική αλλά έχετε μια λειτουργική πρακτική — για παράδειγμα μια περιεκτική λίστα χρηστών σε ένα σύστημα διαχείρισης ταυτοτήτων και πρόσβασης, χωρίς να υπάρχει αντίστοιχο έγγραφο πολιτικής — τότε το «όχι» σε αυτή την ερώτηση είναι συχνά ουσιαστικά περισσότερο ακριβές από ένα βιαστικό «ναι». Η απουσία ενός εγγράφου είναι διαφορετική από την απουσία του ίδιου του μέτρου, και αυτή ακριβώς η διάκριση είναι ο λόγος για τον οποίο αυτή η απάντηση συνήθως παραμένει στο «εξακολουθεί να καθορίζεται» μέχρι να γνωρίζετε ποιο στοιχείο απόδειξης αναμένει ο πελάτης: ένα έγγραφο πολιτικής, ένα στιγμιότυπο της δομής δικαιωμάτων, ή δήλωση.

Που βρίσκεται: άρθρο 21 παράγραφος 2 NIS2

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 αναφέρει την πολιτική ελέγχου πρόσβασης και τη διαχείριση περιουσιακών στοιχείων ως ξεχωριστά στοιχεία εντός των δέκα υποχρεωτικών μέτρων, δίπλα σε άλλα όπως ανάλυση κινδύνου και πολιτική κρυπτογράφησης. Η ίδια η Οδηγία δεν ορίζει σταθερή μορφή: ο τρόπος με τον οποίο μια επιχείρηση το τεκμηριώνει και αποδεικνύει είναι δική της απόφαση και εξαρτάται από το τι αποδεκτό ως απόδειξη στο δικό του πύλη ο ερωτών πελάτης.