le client demande quels fournisseurs ont accès à nos systèmes

Cette question combine la sécurité de la chaîne et la gestion des accès

Le client veut en réalité savoir deux choses à la fois : quels fournisseurs ont techniquement accès aux systèmes, et si cette politique d'accès est maîtrisée. C'est directement pertinent. la politique d'accès incluant la gestion des actifs métier — c'est là qu'est spécifié qui peut faire quelque chose, et avec quels droits. Un fournisseur qui se connecte à distance à un système, fournit du support à distance, ou traite des données dans sa propre application, relève de cette réponse.

Il ne s'agit pas seulement de prestataires IT au sens classique. Un cabinet comptable ayant accès au système financier, un prestataire d'hébergement, un outil SaaS contenant des données clients : ce sont autant de parties externes ayant accès. La question prend-elle aussi en compte les exigences que l'entreprise elle-même impose à ces fournisseurs — contractuellement, techniquement, en matière de droit d'audit — dépend de la formulation dans le questionnaire. Souvent, c'est une question distincte qui s'articule avec les exigences de sécurité que l'entreprise impose à ses propres fournisseurs. Sans un inventaire actualisé des accès externes — une liste de fournisseurs indiquant le type d'accès par partie — il n'existe pas de document source sur lequel baser cette réponse, et la réponse ne peut alors pas être remplie.

Où cela figure dans les dix mesures

La politique d'accès et la sécurité de la chaîne sont deux mesures distinctes parmi les dix de l'article 21, paragraphe 2, de la directive NIS2 : la sécurité de la chaîne figure au point d, le contrôle d'accès et la gestion des actifs métier au point i. ISO/IEC 27001 divise cela de manière comparable dans l'Annexe A, avec des mesures de contrôle distinctes pour les relations avec les fournisseurs et pour la gestion des accès. Qui reçoit cette question en vertu de la Loi sur la cybersécurité, la transposition néerlandaise de la directive NIS2, peut s'attendre à ce que les deux approches — qui a accès, et est-ce maîtrisé — resurgissent séparément dans la liste.