asiakas kysyy, kuinka suojaamme etätyötä ja BYOD:ia, mitä täytän

Etätyö ja BYOD kuuluvat pääsynhallintaan ja salaukseen

Tämä kysymys tulee yleensä ei erillisellä tavalla, vaan kahden NIS2-direktiivin 21 artiklan 2 kohdan kymmenen toimenpiteestä toteutettuna: pääsynhallinta (kohta i) ja salaus (kohta h). Asiakas haluaa tietää, miten estät yksityisen puhelimen tai kotona olevan kannettavan tietokoneen muodostamasta vuotoa yrityksen järjestelmiin. Ilmoita, mitä sinulla todellisuudessa on: MDM (mobile device management) BYOD-laitteissa, pakollinen levyn salaus, VPN-vaatimus etäkäyttöä varten ja erilliset profilit työ- ja yksityiskäyttöä varten. Jos sinulla ei ole MDM:ää mutta on tekninen rajoitus — esimerkiksi yritystiedot ovat käytettävissä vain selaimen kautta ilman paikallista tallennusta — se on kelvollinen vastaus, ei hätäratkaisu.

Jos BYOD-käytäntö puuttuu kokonaan, eli ei mitään teknistä tai organisatorista erottelua yksityis- ja työtehtävien välillä, silloin "ei" on oikea vastaus. Luettelo ilman BYOD-sääntelyä ei ole kuitenkaan automaattisesti ongelma: ISO/IEC 27001 -standardin liitteessä A tämä kuuluu päätelaitteita ja pääsyä koskeviin hallintotoimenpiteisiin, ja monet yritykset vähentävät riskiä sallimalla etätyön vain liiketoimintaan tarkoitetulla laitteella — silloin ei ole mitään BYOD-vahvistettavaa, mutta on pääsynhallintaan ja yritysvarojen hallintaanTarkista myös, onko jokin määrätty monivaiheisesta todentamisesta pääsylle yrityksen järjestelmiinsillä tämä kysymys kuuluu usein samaan osioon ja muuten vastataan kahteen kertaan ristiriitaisilla vastauksilla.

Missä tämä tarkalleen sijaitsee: artiklan 21 2 kohdan alakohdat h ja i

Direktiivin (EU) 2022/2555 artiklan 21 2 kohta mainitsee h:n kohdassa salausta ja salaukseen liittyvää käytäntöä ja i:n kohdassa henkilöstöturvallisuutta, pääsynhallintaa ja yrityksen omaisuuden hallintaa — tähän kuuluu laitteet, joilla työntekijät pääsevät käsiksi, myös yksityiset puhelimet ja kotona olevat kannettavat tietokoneet. Cyber-turvallisuuslaissa, tämän direktiivin suomalaisessa täytäntöönpanossa, esiintyvät samat kymmenen toimenpidettä; laki tulee voimaan 15. elokuuta 2026. ISO/IEC 27001 -standardin liite A tarkentaa tämän erillisissä päätelaitteita, etätyötä ja pääsyä koskevissa hallintotoimenpiteissä, mikä selittää, miksi asiakkaat esittävät tämän joskus yhtenä kysymyksenä ja joskus kolmena erillisenä kysymyksenä.