el cliente pregunta qué proveedores tienen acceso a nuestros sistemas

Esta pregunta combina seguridad de la cadena de suministro y control de acceso

El cliente en realidad quiere saber dos cosas al mismo tiempo: qué proveedores tienen acceso técnico a los sistemas y si esa política de acceso está bajo control. Esto es directamente relevante. la política de acceso incluyendo la gestión de activos empresariales — en ella consta quién puede hacer qué y con qué derechos. Un proveedor que accede remotamente a un sistema, proporciona soporte remoto o procesa datos en una aplicación propia, entra dentro de esta respuesta.

No se trata solo de proveedores de TI en el sentido clásico. Un despacho de contabilidad con acceso al sistema financiero, un proveedor de alojamiento, una herramienta SaaS que contiene datos de clientes: todos son partes externas con acceso. Si la pregunta también incluye los requisitos que la propia empresa establece a esos proveedores — contractualmente, técnicamente, en términos de derechos de auditoría — depende de la formulación en el cuestionario. A menudo se trata de una pregunta separada que se vincula con los requisitos de seguridad que la empresa establece para sus propios proveedores. Sin un inventario actual de acceso externo — una lista de proveedores con el tipo de acceso por parte — no hay documento base sobre el que fundamentar esta respuesta, y entonces la respuesta aún no se puede cumplimentar.

Dónde consta en las diez medidas

La política de acceso y la seguridad de la cadena de suministro son dos medidas separadas dentro de las diez del artículo 21, apartado 2 de la Directiva NIS2: la seguridad de la cadena de suministro figura en el punto d, el control de acceso y la gestión de activos empresariales en el punto i. ISO/IEC 27001 lo divide de forma similar en el Anexo A, con medidas de control separadas para relaciones con proveedores y para control de acceso. Quién recibe esta pregunta conforme a la Ley de Ciberseguridad, la transposición neerlandesa de NIS2, puede esperar que ambos enfoques — quién tiene acceso y si está controlado — reaparezcan de forma separada en el cuestionario.