kuinka vastaan VPN-yhteydestä ja turvallisesta etäpääsystä kysymykseen

Kysymys menee pelkkää VPN:ää pidemmälle

VPN on yksi tekniikka, mutta kysymys itsessään koskee etäkäyttöoikeuden suojausta kokonaisuutena. Se kuuluu NIS2-direktiivin 21 artiklan 2 kappaleen (i) kohdan kymmenen toimenpiteen piiriin: henkilöstön turvallisuus, pääsynhallintokäytännöt ja omaisuuden hallinta. Asiakas, joka kysyy "suojatusta etäkäyttöoikeudesta", haluaa yleensä tietää, onko käytössä VPN tai vastaava salattu yhteys, vaaditaanko monivaiheinen todentaminen, ja onko pääsy rajoitettu siihen, mitä henkilö tarvitsee tehtävässään. Vastaa siksi ei pelkästään "kyllä, käytämme VPN:ää" — lisää, onko se pakollinen kaikelle ulkoiselle pääsylle, ja onko pääsylle asetettu aikaraja tai automaattinen uloskirjautuminen.

Jos sinulla ei ole VPN:ää mutta jollakin muulla mekanismilla — zero-trust-ratkaisulla, sertifikaattitodennuksella varustetulla yhdyskäytävällä, pilviympäristöllä ilman paikallisverkkoa — niin "ei" kirjaimelliseen VPN-kysymykseen ei ole väärä, vaan epätäydellinen. Kuvaile siinä tapauksessa, mitä tosiasiassa käytetään, sillä asiakkaan portaali kysyy itse asiassa tavoitteesta (salattu, hallittu pääsy), ei tietystä tuotteesta. Jos monivaiheinen todentaminen puuttuu etäpääsyltä, se on usein erillinen kysymys, joka ilmestyy erikseen luetteloon, katso Käytetäänkö monivaiheista todentamista pääsylle yrityksen järjestelmiin. Jos sinulla ei ole dokumentoitua tietoa siitä, kuka saa kirjautua etänä ja millä oikeuksilla, se koskee myös laajempaa kysymystä pääsynhallintakäytännöstä, katso on pääsynhallintopolitiikka dokumentoitu, mukaan lukien liiketoimintavarojen hallinta.

Missä se on ohjausasiakirjassa ja standardissa

Direktiivin (EU) 2022/2555 21 artiklan 2 kappaleen i kohdan mukaan henkilöstön turvallisuus, pääsynhallintakäytännöt ja omaisuuden hallinta ovat yksi kymmenestä pakollisesta toimenpiteestä; etäkäyttöoikeus kuuluu sen piiriin. ISO/IEC 27001 -standardin Liite A kehittää tätä edelleen erityisillä hallintakeinoilla pääsynsuojaukseen ja verkon turvaukseen, joissa VPN:n käyttö dokumentoidaan yleensä. Cybersecurity Act, NIS2:n hollantilainen täytäntöönpano, tulee voimaan 15. elokuuta 2026 ja määrää samat kymmenen toimenpidettä lain soveltamisalaan kuuluville tahoille.