come compilo la domanda sulla VPN e sull'accesso remoto sicuro

La domanda va oltre la sola VPN

Una VPN è una tecnica, ma la domanda stessa riguarda la protezione dell'accesso remoto nel complesso. Questo rientra nel punto (i) delle dieci misure dell'articolo 21 comma 2 NIS2: protezione del personale, politica di accesso e gestione delle risorse aziendali. Un cliente che chiede informazioni su "accesso remoto protetto" vuole di solito sapere se è utilizzata una VPN o una connessione crittografata equivalente, se l'autenticazione a più fattori è obbligatoria e se l'accesso è limitato a quanto necessario per la funzione di una persona. Pertanto, non rispondete solo "sì, utilizziamo VPN" — aggiungete se è obbligatorio per tutti gli accessi esterni e se è previsto un limite di tempo o un logout automatico.

Se non si dispone di una VPN ma di un altro meccanismo — una soluzione zero-trust, un gateway con autenticazione basata su certificato, un ambiente cloud senza rete locale — allora "no" alla domanda letterale sulla VPN non è sbagliato, ma è incompleto. In questo caso, descrivete ciò che viene effettivamente utilizzato, poiché il portale del vostro cliente sta effettivamente chiedendo dello scopo (accesso crittografato e controllato), non del prodotto specifico. Se l'autenticazione a più fattori non è presente sull'accesso remoto, si tratta di una domanda separata che spesso ricompare separatamente nell'elenco, vedere l'autenticazione a più fattori viene utilizzata per l'accesso ai sistemi aziendali. Se non avete documentato chi può accedere da remoto e con quali diritti, ciò influisce anche sulla domanda più ampia sulla politica di accesso, vedere è stata definita la politica di accesso, inclusa la gestione dei beni aziendali.

Dove si trova nella direttiva e nella norma

L'articolo 21 comma 2 lettera i della Direttiva (UE) 2022/2555 menziona la protezione del personale, la politica di accesso e la gestione delle risorse aziendali come una delle dieci misure obbligatorie; l'accesso remoto rientra in questo ambito. ISO/IEC 27001 Allegato A lo sviluppa ulteriormente con misure di controllo specifiche per la protezione dell'accesso e la protezione della rete, dove l'utilizzo di VPN è solitamente documentato. La Legge sulla cibersicurezza, il recepimento olandese della NIS2, entra in vigore il 15 agosto 2026 e stabilisce le stesse dieci misure per le entità che rientrano nell'ambito di applicazione della legge.