azt kérdezik, kinek van hozzáférése az adataikhoz

Hozzáférési szabályzat, nem pedig névsort

Az ügyfél általában nem azt szeretné tudni, hogy mely egyes személy jelentkezik be, hanem azt, hogy van-e olyan rendszer, amely szabályozza, hogy ki hova juthat hozzá. Ez a hozzáférés-kezelés alá tartozik: ki férhet hozzá mely rendszerekhez és adatokhoz, milyen szerepkör alapján, és hogyan kerül odaítélésre, illetve később visszavonásra. A válasz tehát két részből áll: a szabályzatból (hogyan kerül hozzáférés odaítélésre, felülvizsgálatra, visszavonásra a munkaviszonya végén) és a gyakorlatból (szerepkör-alapú jogosultságokkal működnek-e, a legalacsonyabb szükséges jogosultság elvét alkalmazzák-e, rendszeres időközönként áttekintik-e, hogy ki még férkőzhet hozzá).

Ha nincs külön hozzáférési szabályzat dokumentuma, de a gyakorlat működik — például szerepkörök egy rendszerben, rögzített eljárás az alkalmazotti belépéskor és kilépéskor — az gyakran elegendő ahhoz, hogy "igen" válaszként kezelje, feltéve, hogy ez valóban igazolható. Ha mindkettő hiányzik, akkor a "nem" a tisztességes válasz; egy ilyen kérdésre adott "igen" válasznak a láncdosszié forrása nem szabad, hogy hiányozzon. Az ugyanazon lista kapcsolódó kérdései gyakran az alábbira vonatkoznak: többtényezős hitelesítés vállalati rendszerekhez és a az információbiztonsági rendszerek kockázatelemzésének és védelméhez szükséges szabályzat — a két elem tartalmilag összetartozik, mivel a hozzáférés általában a kockázatelemzésből következett kezelési intézkedések egyike.

A 21. cikk 2. bekezdésére és az A. mellékletére vezethető vissza

A hozzáférés kezelése a NIS2-irányelv (2022/2555 (EU) irányelv) 21. cikk 2. bekezdésének tíz intézkedésének egyike: kifejezetten a hozzáférés-ellenőrzés szabályzatát és az üzleti eszközök kezelését kötelező részként sorolja fel a kockázatkezelésben. Az ISO/IEC 27001-ben ez az Annex A kezelési intézkedéseiben jelenik meg, a hozzáférés-ellenőrzés kategória alatt. Azon ügyfelek, akik maguk alá esnek majd a Kiberbiztonságról szóló törvénynek — a NIS2 holland átültetése, amely 2026. augusztus 15-én lép hatályba — ezért egyre gyakrabban feltesznek ezt a kérdést szisztematikusan szállítóiknak, még akkor is, ha maguk még nem kaptak kijelölést az irányelv szerinti entitásként.