kuinka täytän kysymyksen turvallisuudesta etätyössä

Etätyö kuuluu pääsynhallintakäytäntöjen ja MFA-järjestelmien piiriin, ei erillisen osion alaiseksi

Etätyötä koskeva kysymys ei yleensä ole itsenäinen aihe, vaan kahden NIS2-direktiivin 21 artiklan 2 kappaleen kymmenen toimenpiteen kehitys: pääsynhallintakäytäntö (kohta i) ja monivaiheisen todennuksen käyttö tai vastaavat suojatut yhteydet (kohta j). Älä siis täytä sitä erikseen, vaan johdonmukaisesti sen kanssa, mitä olet jo vastannut pääsynhallintaan ja yritysvarojen hallintaan ja kohdasta kysymykseen monivaiheisen todennuksen osalta. Jos vastaus siellä ei vastaa sitä, mitä sanot tässä, arvioija huomaa sen ensimmäisenä.

Käytännössä asiakas haluaa yleensä tietää: kirjautuvatko työntekijät sisään VPN:n tai zero-trust-yhteyden kautta, onko MFA pakollinen kyseisellä yhteydellä, onko käytössä laitekäytäntö yksityisten ja yrityslaitteiden osalta, ja onko olemassa perussääntö julkisista verkkoista. Jos sinulla ei ole tätä erillisenä käytäntöasiakirjana vaan laajemman ICT-ohjesäännön osana, se on riittävä todiste — viittaa osaan, ei koko asiakirjaan. Jos jokin neljästä pisteestä puuttuu, älä vastaa automaattisesti "ei": kerro, mitä on olemassa (esimerkiksi MFA on, laitekäytäntö ei), ja anna asiakkaan itse arvioida jatkokysymys. Jos sinulla ei ole kumpaakaankaan, "ei, ei vielä formalisoitu" on tosiasiallisesti tarkempi vastaus kuin puolinainen "kyllä", jota et voi perustella.

Mistä tämä tulee: 21 artiklan 2 kappaleen kohdat i ja j

Direktiivin NIS2 21 artiklan 2 kappaleen kohdassa i mainitaan "salauksen käyttöä koskevat käytännöt ja menettelyt" — ei, se on kohta h; kohta i käsittelee henkilöstöturvallisuutta, pääsynhallintaa ja omaisuudenhallintaa, ja kohta j erityisesti monivaiheisen todennuksen tai jatkuvan todennuksen ratkaisujen käyttöä, salatun viestinnän sekä turvallista hätäviestintää yrityksen sisällä. ISO/IEC 27001 -standardin liitteen A määritykset kehittävät tätä edelleen etätyön ja verkkopalvelun pääsynhallintaa koskevissa kontrolleissa. Kyberturvallisuuslaki ottaa tämän jaottelun muuttumattomasti käyttöön, kun se tulee voimaan 15. elokuuta 2026, joten vastaus, joka nyt vastaa näitä kahta kohtaa, on käyttökelpoinen myös tuon päivämäärän jälkeen.