az ügyfél megkérdezi, hogyan szabályozzuk a külső beszállítók vagy szabadúszók hozzáférését

A harmadik felek hozzáférése a hozzáférési szabályzat alá tartozik, nem az ellátásilánc-kezelés alá

Ez a kérdés ide tartozik a vállalkozás hozzáférési szabályzatához, nem a szállítókat érintő kérdésekhez. Az ügyfél azt szeretné tudni, hogyan akadályozod meg, hogy egy szabadúsító vagy külső fél több jogot kapjon a szükségesnél, és hogyan vonod vissza azt a hozzáférést, amikor a munka elkészült. Tedd meg ezt a különbségtételt magad is: egy kérdés a külső felek számára támasztott biztonsági követelményekről az ellátásilánc-kezelésre vonatkozik, egy kérdés arról, hogy ezek a felek hogyan jelentkeznek be a rendszeredre a hozzáférésre vonatkozik. A kérdőívek gyakran összekeverik ezt, de a NIS2 21. cikk (2) bekezdésből és az ISO 27001 Annex A-ból származó két különböző intézkedésről van szó.

Konkrétan azt kérdezik: van-e folyamatod a hozzáférés megadására, módosítására és visszavonására (bejelentkezés és kijelentkezés), ideiglenes vagy lejárt fiókokkal dolgozol-e külsősök számára, és érvényes-e a legkisebb jogok elve — csak a szükséges hozzáférés, nem az egész hálózathoz való hozzáférés. Ha a külsősök távolról kapnak hozzáférést, gyakran azt is kérdezik, hogy többfaktoros hitelesítés kötelező-e. Ha nincs külön szabályzatod a külső felek számára, de általános hozzáféréskezelésre támaszkodol, amelyben nincs különbségtétel a saját alkalmazottak és a harmadik felek között, akkor az "nem" a tisztességes válasz — a megosztott jelszó vagy az eljárás befejezése után aktív maradó fiók nem számít felügyelt hozzáférésnek.

Ahol ez az irányelvben és a normában szerepel

Az NIS2 21. cikk (2) bekezdése a hozzáférésszabályozási szabályzatot és a munkatársak biztonságát említi, mint a tíz kötelező intézkedés közül kettőt; az ISO 27001 ezt az Annex A-ban részletezi a hozzáférés-ellenőrzés keretében, különös tekintettel a harmadik felek hozzáférésére és annak visszavonására a szerződés végén.