kyselylomakkeessa kysytään, kuinka suojaamme etätyöskentelyn ja etäkäytön

Etäpääsy kuuluu käyttöoikeuksien hallinnan ja monitekeijäisen todentamisen piiriin

Kysymys etätyöstä ja etäpääsystä on yleensä kahden yhdistelmä kymmenestä toimenpiteestä, jotka on mainittu direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa: kohta (i), käyttöoikeuksien hallinta ja omaisuuden hallinta, ja kohta (j), monitekeijäisen todentamisen käyttö. Asiakkaat, jotka kysyvät tästä erikseen, haluavat tietää, kuinka työntekijä saa pääsyn yritysjärjestelmiin yksityisestä verkosta tai omalta kannettavalta tietokoneelta ja mitkä esteet siihen liittyvät. Pelkkä VPN-yhteys ei ole vastaus tähän kysymykseen — kysymys koskee salatun yhteyden, todentamisen ja laitteiden hallinnan yhdistelmää.

Konkreettinen todiste koostuu yleensä kolmesta osasta: VPN- tai nollaluottamus-määrityksestä salauksella, MFA-velvoitteesta, joka koskee myös etäpääsyä (ei pelkästään yritysverkkoa), ja luettelosta siitä, mitkä laitteet saavat pääsyn — yksityisiä tai liikepuolella. Jos Mobile Device Management -ratkaisu on käytössä, se on vahva todistusaineisto. Jos sitä ei ole, vastaus on usein "ei" laitteen hallintaosioon, vaikka MFA olisikin olemassa. Täytä sitten jokainen osa erikseen siitä, mikä on ja mikä ei ole järjestetty, yhden yhteenveto-vastauksen "kyllä" tai "ei" sijaan — tämä estää väärän "ei"-vastauksen kysymykseen, joka todellisuudessa pitää osittain paikkansa. Jos liikenteen salaus itsessään on kysymyksen aihe, se liittyy pikemminkin käytäntö kryptografiasta ja salauksesta kuin pääsyyn. Jos olet epävarma, mihin osaan tämä tarkalleen osuu, tarkista myös, onko kysymys todellisuudessa pääsynhallintakäytäntöön sisältäen omaisuudenhallinnan — usein nimittäin kaksi erillistä alakysymystä on pakattu yhdelle riville.

Löytyy täältä: direktiivin 21 artiklan 2 kohta, kohdat i ja j

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa mainitaan käyttöoikeuksien hallinta ja omaisuuden hallinta kohdassa (i) ja monitekeijäisen todentamisen tai jatkuvan todentamisen käyttö kohdassa (j), salatun kommunikaation lisäksi kohdassa (h). ISO/IEC 27001 Annex A kehittää tätä edelleen käyttöoikeuksien suojauksen ja yrityksen ulkopuolella olevan laitteiden hallintatoimenpiteiden osalta. Kyberturvallisuuslaki omaksuu tämän jaottelun, kun se astuu voimaan 15. elokuuta 2026 jälkeen, joten kysymyksen rakenne ei muutu — muuttuu vain, kenen on vastattava siihen.