rögzített-e a hozzáférési politika, az üzleti eszközök kezelésének szabályaival együtt?

A hozzáférési politika és az eszközkezelés két külön intézkedés

Ez a kérdés gyakran két dolgot kever össze: a hozzáférési politikát (ki férhet hozzá mely rendszerekhez és mely adatokhoz) és az eszközkezelést, más szóval az eszközmenedzsmentet (tudni, milyen eszközöd, rendszered és adathordozóid vannak, és ki felelős értük). A NIS2-irányelv 21. cikk 2. bekezdésében ezek közül kettő található a tíz kötelező intézkedés között egymás mellett, de ezek nem szinonimák. Az az ügyfél, aki ezt egy kérdésként fogalmazza meg, általában azt szeretné megtudni, hogy mindkettőt rendbe tettél-e, nem azt, hogy azonosak-e.

A hozzáférési politika szempontjából releváns, hogy van-e eljárás a jogok megadásához és visszavonásához, hogy ez össze van-e kötve a funkciókkal, és hogy többfaktoros hitelesítés használatos-e a kritikus rendszerekhez. Az eszközkezelés esetén egy aktuális hardver-, szoftver- és adathordozó-leltár szükséges, beleértve azt is, hogy ki az egyes eszközök tulajdonosa, és mi történik a leszerelés vagy az eszközök cseréje során. Ha nincs formálisan rögzített politikád, de van egy működő gyakorlatod — például egy zárt felhasználói lista egy IAM-rendszerben, anélkül, hogy egy beleidsdokumentum hozzá lenne kapcsolódva — akkor erre a kérdésre az "igen" helyett gyakran az "nem" felelet faktikusan helyesebb. A dokumentum hiánya más, mint maga az intézkedés hiánya, és éppen ez a megkülönböztetés az oka annak, hogy ez a válasz általában "még meghatározandó" marad, amíg nem tudod, milyen bizonyítékot vár az ügyfél: egy beleidsdokumentumot, a jogok szerkezetének egy képernyőképét vagy egy nyilatkozatot.

Helye: NIS2 21. cikk 2. bekezdés

A 2022/2555 (EU) Irányelv 21. cikk 2. bekezdése az hozzáférés-ellenőrzési politikát és az eszközkezelést a tíz kötelező intézkedésen belül külön összetevőként említi, többek között kockázatelemzés és titkosítási politika. Az irányelv maga nem írja elő a rögzítés és igazolás módját: ezt az unterneiming és az ügyfél saját portáljában bizonyítékként elfogadott megoldása határozza meg.