¿Está documentada la política de acceso, incluida la gestión de activos empresariales?

La política de acceso y la gestión de activos son dos medidas independientes

Esta pregunta suele mezclar dos cosas: política de acceso (quién puede acceder a qué sistemas y qué datos) y gestión de activos, también llamada asset management (saber qué dispositivos, sistemas y soportes de información tienes, y quién es responsable de cada uno). En el artículo 21, apartado 2, de la Directiva NIS2 estas dos figuran como dos de las diez medidas obligatorias una al lado de la otra, pero no son sinónimos. Un cliente que plantea esto como una sola pregunta generalmente quiere saber si tienes ambas en orden, no si son lo mismo.

En cuanto a la política de acceso, es relevante si existe un procedimiento para otorgar y revocar derechos, si está vinculado a funciones, y si autenticación multifactor se utiliza para sistemas críticos. Para la gestión de activos se trata de tener un inventario actualizado de hardware, software y soportes de información, incluido quién es propietario de cada activo y qué ocurre cuando un equipo se retira o se reemplaza. Si no tienes una política formalmente documentada pero sí una práctica funcional —por ejemplo, una lista de usuarios completa en un sistema IAM, sin que haya un documento de política adjunto—, responder "no" a esta pregunta suele ser factualmente más correcto que un prematuro "sí". La ausencia de un documento es algo distinto de la ausencia de la medida en sí, y esa es precisamente la razón por la que esta respuesta generalmente se mantiene en "por determinar" hasta que sepas qué tipo de prueba espera el cliente: un documento de política, una captura de pantalla de la estructura de derechos, o una declaración.

Dónde aparece esto: artículo 21, apartado 2, NIS2

El artículo 21, apartado 2, de la Directiva (UE) 2022/2555 menciona la política de control de acceso y la gestión de activos como elementos separados dentro de las diez medidas obligatorias, junto con, entre otros, análisis de riesgos y política de cifrado. La directiva en sí no prescribe un formato fijo: cómo documenta y demuestra una empresa esto depende de la empresa y de lo que el cliente que formula la pregunta acepte como prueba en su propio portal.