he haluavat tietää, kuinka suojaamme etätyöskentelyn

Etätyöskentelyn turvallisuus kuuluu pääsynhallintaan ja MFA:han

Kysymys etätyöpaikoista ei yleensä ole erillinen aihe, vaan kahden laajemman toimenpiteen täsmentäminen asetuksen NIS2 21 artiklan 2 kappaleen mukaisesti: pääsykäytäntö (kohdassa e on joskus myös "kryptografian käytöstä annettu politiikka ja menettelyt", johon joskus kuuluu myös kysymys VPN-salauksesta) ja todennus (kohdassa j, monivaiheinen todennus ja turvallinen viestintä). Asiakkaat haluavat tietää konkreettisesti, onko etätyöpaikka yhtä hyvin suojattu kuin toimistotyöpaikka: vaaditaanko VPN tai zero-trust-pääsy, onko MFA päällä kaikissa ulkoisissa yhteyksissä, ja onko politiikka siitä, mitkä laitteet (yrityksen kannettava tietokone vai yksityinen puhelin) saavat pääsyn.

Jos et ole sitä eksplisiittisesti dokumentoinut, rehellisimmän vastauksen tulee olla "ei" ja siihen liittyvä selvitys: esimerkiksi se, että pääsy yrityksen järjestelmiin kulkee joka tapauksessa MFA:n kautta, riippumatta työntekijän sijainnista. Tämä on usein vahvempi kuin puoliksi täytetty "kyllä" etätyökäytäntöä koskien, jota ei ole olemassa. Tarkista ensin, onko monivaiheinen todennus yrityksen järjestelmille jo dokumentoitu — jos vastaus on "kyllä", se kattaa suurimman osan tästä kysymyksestä, koska useimmat asiakkaat kysyvät etätyöstä juuri sen tarkistamiseksi, että pääsy on hyvin järjestetty sijainnista riippumatta. Jos sekä VPN-politiikka että MFA puuttuvat, vastaus "ei" on käsiin tuleva, mahdollisesti selvityksellä siitä, mikä on olemassa (esimerkiksi vain salasanakäytäntö).

Missä tämä tulee konkreettisemmaksi ISO 27001:n liitteessä A

ISO/IEC 27001 -standardi täsmentää tätä "etätyöskentelyn" ja pääsynhallinnan hallintotoimenpiteiden osalta, ja monet pankkien ja suurten ostajien kyselylomakkeet perustuvat suoraan tuohon liitteen A -järjestelyyn — siksi kysymys on usein NIS2-kymmenen ulkopuolella. Se, voiko organisaatio sanoa jotain rakentavaa tästä, riippuu myös siitä, kuuluuko se itse kyberturvallisuuslain soveltamisalaan; jos ei, niin pragmaattinen vastaus olemassa olevasta tilanteesta riittää. Jos olet epävarma, kuuluuko organisaatio soveltamisalaan, katso siitä kuuluuko organisaatio NIS2:n tai kansallisen täytäntöönpanon soveltamisalaan — tämä määrittää, kuinka paljon tämä vastaus painaa koko lomakkeen kuvassa.