he kysyvät, kuka kaikkiaan pääsee heidän tietoihinsa

Pääsynhallinnan politiikka, ei nimiä sisältävä luettelo

Asiakas haluaa yleensä tietää täällä, ei sitä, että mikä yksittäinen henkilö kirjautuu sisään, vaan onko olemassa järjestelmää, joka säätelee, kuka saa käyttää mitä. Se kuuluu pääsynhallintaan: kuka saa käyttää mitä järjestelmiä ja tietoja, minkä roolin perusteella, ja miten ne myönnetään ja peruutetaan. Vastaus koostuu siis kahdesta osasta: politiikka (miten pääsy myönnetään, tarkistetaan ja peruutetaan palvelun lopussa) ja käytäntö (käytetäänkö roolipohjaisesti myönnettäviä oikeuksia, vähintään tarvittavan periaatteen mukaisia oikeuksia, säännöllistä tarkistusta siitä, kenellä on vielä pääsy).

Jos erillinen pääsynhallinnan politiikan asiakirja puuttuu, mutta käytäntö on kunnossa — esimerkiksi roolit järjestelmässä, vakiintuneet menettelyt palvelun alkaessa ja päättyessä — se on usein riittävää vastaaakseen "kyllä", kunhan se on myös todella osoitettavissa. Jos molemmat puuttuvat, on "ei" rehellinen vastaus; kysymykseen vastaaminen ehdottaen "kyllä" ilman lähteenä olevaa asiakirjaa ketendossieeissa, ei tapahdu. Aiheeseen liittyvät kysymykset samalla listalla käsittelevät usein monivaiheinen todennus yrityksen järjestelmille sekä riskiarviointia ja tietoturvajärjestelmien suojausta — nuo kaksi kuuluvat sisällöllisesti yhteen, sillä pääsy on tavallisesti yksi hallintatoimenpiteistä, jotka riskiarviosta seuraavat.

Jäljitettävissä artiklan 21 kohdan 2 ja liitteen A perusteella

Pääsynhallinta on yksi kymmenestä toimenpiteestä EU:n direktiivin 2022/2555 (NIS2-direktiivi) 21 artiklan 2 kohdan mukaan: se mainitsee nimenomaisesti pääsynhallintaa koskevan politiikan ja liiketoimintaan liittyvien varojen hallinnon pakolliseksi osaksi riskienhallintaa. ISO/IEC 27001 -standardissa tämä on nähtävissä liitteen A hallintaohjauksissa pääsynhallinnan kategoriassa. Asiakkaat, joihin sovelletaan Cyberbeveiligingslakia — NIS2:n Alankomaiden implementaatiota, joka tulee voimaan 15. elokuuta 2026 — esittävät tämän kysymyksen siksi yhä useammin standardina toimittajilleen, vaikka he eivät vielä ole nimetty direktiivin soveltamisalan entiteeteiksi.