klient küsib, kuidas me kaitsseme kodutöö ja BYOD-i, mida ma sisestan

Kodust töötamine ja BYOD kuuluvad juurdepääsupõhimõtte ja krüptograafia alla

See küsimus tuleb tavaliselt mitte eraldi osana, vaid kahe NIS2 artikli 21 lõike 2 kümnest abinõust välja arendamisena: juurdepääsupõhimõte (osa i) ja krüptograafia (osa h). Klient soovib teada, kuidas sa takistad privaattelefoni või kodus oleva sülearvuti muutumist ärisüsteemide lekkeks. Täida see, mis sul tegelikult on: MDM (mobile device management) BYOD-seadmetel, kohustuslik ketta krüptimine, VPN-kohustus kaugjuurdepääsuks, ja eraldi profiilid tööks ja privaatsuseks. Kui sul MDM puudub, kuid sul on tehnilise piirangu — näiteks äriandmete juurdepääs ainult brauseriportaali kaudu ilma kohalikul salvestamiseta — siis on see kehtiv vastus, mitte hädaabilahendus.

Kui BYOD-poliitika täielikult puudub, st pole mingit tehnilist ega organisatoorset jagamist privaatsuse ja töö vahel, siis on "ei" õige vastus. Nimekiri ilma BYOD-korraldusteta ei ole muide automaatselt probleem: ISO/IEC 27001 lisa A kohaselt kuulub see lõpp-seadmete ja juurdepääsu kontrolliabinõuete alla, ja paljud ettevõtted vähendavad seda riski, lubades kodust töötamist ainult äriseadme abil — siis pole BYOD kohta midagi kinnitada, kuid juurdepääsupõhimõtte kohta küll juurdepääsupoliitikat ja IT-varade haldust. Kontrolli ka, kas on midagi kindlaks määratud mitmetasandiline autentimine ettevõtte süsteemidele juurdepääsuks, sest see küsimus esineb sageli samas plokis ja vastasel juhul vastatakse duplikeeritud vastuseiga vastuolevate vastustega.

Kus see täpselt asub: artikli 21 lõike 2 osad h ja i

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 loetleb jaotises h krüptograafia ja krüptimise poliitika ning jaotises i personal-, juurdepääsu- ja varahaldusepoliitika — kuhu kuulub seadmestik, millega töötajad pääsevad juurde, seega ka privaattelefon ja kodus olev sülearvuti. Küberturbe seaduses, selle direktiivi Hollandi rakendamises, esinevad samad kümme abinõuud; seadus jõustub 15. augustil 2026. ISO/IEC 27001 lisa A arendab seda edasi eraldi lõpp-seadmete, kaugtöötamise ja juurdepääsu kontrolli abinõuude kaudu, mis selgitab, miks kliendid seda mõnikord ühe küsimusena esitavad ja mõnikord kolme eraldi küsimusena.