asiakas kysyy, kuinka säädämme ulkoisten toimittajien tai freelancerien käytön

Kolmansien osapuolten pääsy kuuluu pääsynhallintakäytäntöön, ei toimitusketjun hallintaan

Tämä kysymys kuuluu organisaation pääsynhallintakäytäntöön, ei kysymyksiin toimittajista itsestään. Asiakas haluaa tietää, kuinka estät freelanceria tai ulkopuolista osapuolta saamasta enemmän oikeuksia kuin tarpeellista, ja kuinka peruutat pääsyn heti kun työ on valmis. Tee itse tämä erottelu: kysymys turvallisuusvaatimuksista, jotka asitat ulkopuolisille osapuolille, koskee toimitusketjun hallintaa, kysymys siitä, kuinka nämä osapuolet kirjautuvat omiin järjestelmiihin, koskee pääsyä. Kyselyt sekoittavat tämän usein, mutta nämä ovat kaksi eri toimenpidettä NIS2:n 21 artiklan 2 kappalkeesta ja kaksi eri Liite A:n lukua ISO 27001:ssä.

Mitä konkreettisesti kysytään: onko sinulla prosessi pääsyn myöntämiseen, muuttamiseen ja peruuttamiseen (onboarding ja offboarding), käytätkö väliaikaisia tai vanhentuneita tilejä ulkopuolisille osapuolille, ja noudatetaanko vähimmäissuojalauseketta — pääsy vain siihen mitä tarvitaan, ei koko verkkoon. Jos ulkopuoliset osapuolet saavat etäpääsyn, kysytään usein myös, onko monivaiheinen tunnistautuminen pakollista. Jos sinulla ei ole erillistä käytäntöä ulkopuolisille osapuolille, vaan turvaudut yleiseen pääsynhallintaan, jossa ei tehdä eroa omien työntekijöiden ja kolmansien osapuolten välillä, niin "ei" on rehellinen vastaus — jaettu salasana tai jatkuvasti aktiivinen tili tehtävän päätyttyä ei ole hallittua pääsyä.

Missä se on ohjausasiakirjassa ja standardissa

NIS2:n 21 artiklan 2 kappale mainitsee pääsynhallintakäytännön ja henkilöstön turvallisuuden kahtena kymmenestä pakollisesta toimenpiteestä; ISO 27001 kehittää tämän Liite A:ssa pääsynhallinnan osalta, ja siinä kiinnitetään erityistä huomiota kolmansien osapuolten pääsyyn ja sen peruuttamiseen sopimuksen päättyessä.