Az ügyfelem azt kérdezi, hogyan biztosítjuk a távmunkát és a BYOD-ot, mit töltsek ki

A távmunka és a BYOD az hozzáférési politika és a titkosítás alá esik

Ez a kérdés általában nem önálló elemként jelenik meg, hanem a NIS2 21. cikk 2. bekezdésének tíz intézkedésből kettő kidolgozásaként: hozzáférési politika (i) pont) és titkosítás (h) pont). Az ügyfél azt szeretné tudni, hogyan lehet megakadályozni, hogy egy privát telefon vagy otthoni laptop biztonsági lyukká váljon a vállalati rendszerek felé. Töltse ki, amit ténylegesen alkalmazott: MDM (mobileszköz-kezelés) BYOD-eszközökön, kötelező lemeztitkosítás, VPN-kötelezettség a távolról történő hozzáféréshez, valamint külön profilok a munkához és a magánéletre. Ha nincs MDM-je, de van technikai korlátozása – például az, hogy a vállalati adatok csak böngészőportálon keresztül érhetők el helyi tárolás nélkül – akkor ez egy érvényes válasz, nem noodmegoldás.

Ha a BYOD-politika teljesen hiányzik, tehát semmiféle technikai vagy szervezeti szétválasztás nincs a magán és munka között, akkor az „nem hozzáférési szabályzat és az üzleti eszközök kezelésea helyes válasz. Egy BYOD-szabályozás nélküli lista egyébként nem szükségszerűen probléma: az ISO/IEC 27001 Annex A-ban ez az endpoint és hozzáférési biztonsági intézkedések közé tartozik, és számos vállalat úgy szünteti meg a kockázatot, hogy a távmunkát csak üzleti eszközről engedélyezi – ilyenkor nincs a BYOD-ról mit megerősíteni, helyette az többfaktoros hitelesítésről kell ellenőrizni a vállalati rendszerekhez való hozzáférésnél, mert ezt a kérdést gyakran ugyanabba a blokkba teszik, és máskülönben ellentmondó válaszokkal duplikálódik.

Ez pontosan hol szerepel: a 21. cikk 2. bekezdésének h és i pontjai

A (EU) 2022/2555 irányelv 21. cikk 2. bekezdése az h pontban a titkosításra és titkosításra vonatkozó politikát, az i pontban pedig a személyzet biztonsága, a hozzáférési politika és az üzleti eszközök kezelésének biztonságát említi – ide tartozik az a felszerelés, amellyel a munkatársak hozzáférést kapnak, így a privát telefonok és a otthoni munkavégzésre szánt laptopok is. A Cyberbevédelmi törvényben, az irányelv holland átültetésében ugyanez a tíz intézkedés ismétlődik meg; a törvény 2026. augusztus 15-én lép hatályba. Az ISO/IEC 27001 Annex A ezt továbbfejleszti az endpoint-eszközöket, a teleworking-et és a hozzáférés-vezérlést érintő külön biztonsági intézkedésekben, ami megmagyarázza, hogy az ügyfelek ezt néha egyetlen kérdésként és néha három külön kérdésként teszik fel.