pitaju tko ima pristup njihovim podacima

Politika pristupa, ne popis imena

Kupac ovdje obično ne želi znati koja se pojedinačna osoba prijavljuje, već postoji li sustav koji određuje tko gdje može pristupiti. To spada pod upravljanje pristupom: tko ima pristup kojim sustavima i podacima, na temelju koje uloge, te kako se ti pristup dodjeljuje i opoziva. Odgovor se dakle sastoji od dva dijela: politika (kako se pristup dodjeljuje, pregledava, opoziva pri odjavi iz službe) i praksa (radi li se s pristupom temeljenim na ulogama, principom najmanje privilegije, periodičkom provjeri tko još ima pristup).

Ako nema odvojena dokumenta o politici pristupa, ali je praksa u redu — primjerice uloge u sustavu, utvrđen proces pri zapošljavanju i odjavi iz službe — to često biva dovoljno za odgovor s "da", uz uvjet da je to stvarno moguće dokazati. Nedostaju li oba, tada je "ne" iskreno odgovor; prijedlog pitanja o tome ne želi se prikazati kao "da" bez što izvora u datoteci lanca dostave. Povezana pitanja na istoj listi često se tiču autentifikacija s više čimbenika za poslovne sustave i o politike analize rizika i zaštite informacijskih sustava — ta dva pojma su sadržajno povezana, jer je pristup obično jedna od mjera kontrole koje proizlaze iz analize rizika.

Može se pratiti do članka 21 stavka 2 i Aneksa A

Upravljanje pristupom jedna je od deset mjera iz članka 21. stavka 2. Direktive NIS2 (Direktiva (EU) 2022/2555): eksplicitno navodi politiku kontrole pristupa i upravljanja korporativnom imovinom kao obavezan dio upravljanja rizicima. U ISO/IEC 27001 to se pojavljuje u mjerama kontrole Dodatka A, pod kategorijom kontrola pristupa. Kupci koji će sami podleći Zakonu o kibernetskoj sigurnosti — holandskoj transpoziciji NIS2, koja stupuje na snagu 15. kolovoza 2026. — stoga redovito postavljaju ovo pitanje kao standard svojim dobavljačima, čak i ako oni sami još nisu određeni kao subjekti prema direktivi.