Kas juurdepääsupoliitika on kindlaks määratud, sealhulgas ettevõtte varade haldamine?

Juurdepääsupoliitika ja varahaldus on kaks eraldi meetmeid

Seda küsimust keeritakse sageli kahte asja kokku: juurdepääsupoliitika (kes võib millise süsteemi ja milliste andmeteni juurde pääseda) ja vara haldus, mida nimetatakse ka varahalduseks (teada, milliseid seadmeid, süsteeme ja andmekandjaid teil on, ning kes neist vastutab). NIS2-direktiivi 21. artikli 2. lõikes on see kaks neist kümnest kohustuslikust meetmest kõrvuti, kuid need ei ole sünonüümid. Klient, kes esitab selle ühe küsimisena, soovib tavaliselt teada, kas teil on mõlemad korraks seatud, mitte kas need on ühesugused.

Juurdepääsupoliitika puhul on asjakohane, kas õiguste andmise ja äravõtmise protseduur on olemas, kas see on seotud ametikohtadega, ja kas mitmefaktoriga autentimine kasutatakse kriitiliste süsteemide puhul. Vara halduse puhul käib see käesolevas riistvara, tarkvara ja andmekandja ajakohasel ülevaatamisel, sealhulgas kellel on iga varapunkti omand ja mis juhtub seadmete kasutamise lõppemisel või asendamisel. Kui teil pole ametlikult fikseeritud poliitikat, kuid töötav praktika on olemas — näiteks siduv kasutajate loend IAM-süsteemis, ilma et sellele järgneks poliitikaväljak — on selle küsimuse "ei" vastus sageli faktiliselt õigem kui ennatlikku "jah". Dokumendi puudumine on midagi muud kui meetme enda puudumine, ja see erinevus on täpselt see, miks see vastus tavaliselt "veel määramata" jääb kuni sa tead, millist tõendit klient ootab: poliitikaväljak, kuvatõmmis õiguste struktuurist või avaldus.

Kus see on: NIS2-direktiivi 21. artikli 2. lõik

Direktiivi (EL) 2022/2555 21. artikli 2. lõik nimetab juurdepääsukontroolipoliitikat ja vara haldust eraldi osadena kümne kohustuslikku meetme hulgas, kõrvuti näiteks riskianalüüsiga ja krüptimipoliitiikaga. Direktiiv ise ei ettekirjuta fikseeritud formaati: kuidas ettevõte seda fikseerib ja tõendab, sõltub ettevõttest ja sellest, mida küsiv klient oma portaalis tõendina aktsepteerib.