kyselylomake kysyy yrityksen mobiililaitteiden ja kannettavien tietokoneiden periaatteesta

Mobiililaiteisiin liittyvä politiikka kuuluu pääsynvalvontaan ja yrityksen omaisuuden hallintaan

Tämä kysymys liittyy NIS2:n 21 artiklan 2 kohdan i alakohtaan: pääsynvalvontaa koskeva politiikka, joka sisältää yrityksen omaisuuden hallinnan ("asset management"). Puhelimet ja kannettavat tietokoneet ovat yrityksen omaisuutta, jotka mahdollistavat tietojen käytön kantaverkkojen ulkopuolella, ja asiakas haluaa tietää, onko sille asetettu rajoituksia. Käytännössä kysymyslista odottaa vastausta muutamaan kiinteään asiaan: onko olemassa rekisteri jaetuista laitteista, onko tallennustilan salaus pakollista, onko vähimmäisvaatimus PIN-koodille tai biometriikalle, ja voidaanko kadonnut tai varastettu laite poistaa etäyhteydellä (MDM — mobile device management). Myös BYOD (bring your own device, työntekijöiden omat laitteet) tulee usein esiin erikseen, koska se aiheuttaa erilaisen riskin kuin yrityksen laitteet.

Jos tämä politiikka ei ole vielä kirjallisessa muodossa, mutta käytäntö on kunnossa — salaus on oletusarvoisesti päällä, pääsy tapahtuu tilin kautta joilla on monivaiheinen tunnistautuminen — silloin "ei, vielä ei vahvistettua politiikkaa" on rehellinen vastaus, mahdollisesti täydennettynä selityksellä toteutetuista toimista. Älä vastaa "kyllä" MDM-ratkaisua koskevaan kysymykseen, jos sitä ei ole olemassa; asiakas, joka sitten kysyy laitteistorekisteristä tai laitteen katoamisen tapauksessa noudatettavasta prosessista, jää muuten ilman perusteluja. Laitteen katoaminen tai varkaus koskettaa myös tietoturvapoikkeamien menettely, joten näiden kahden vastauksen on oltava johdonmukaisia.

Missä tämä on: 21 artiklan 2 kohta ja Liite A

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdan i alakohta mainitsee pääsynvalvontaa ja yrityksen omaisuuden hallintaa koskevat politiikat yhtenä kymmenestä pakollisesta toimesta. ISO/IEC 27001 kehittää tätä edelleen liitteessä A, joissa käsitellään "endpoint devices" -laitteiden ja mobiililaitteiden hallintotoimia; joka on jo ISO 27001 -sertifioitu, on yleensä jo dokumentoinut tämän osuuden. Hollannin kyberturvallisuuslaki, joka toteuttaa NIS2:n ja tulee voimaan 15. elokuuta 2026, noudattaa samaa jakoa kymmeniksi toimiksi.