il questionario vuole sapere come regoliamo l'accesso ai sistemi, quale risposta do

La gestione degli accessi riguarda l'autorizzazione, la verifica e la registrazione

Questa domanda rientra nella politica di controllo degli accessi, e la maggior parte dei questionari la suddividono in tre parti: come viene concesso e revocato l'accesso (autorizzazione), come viene verificata l'identità dell'utente (autenticazione), e se viene registrato chi ha acceduto a quale sistema e quando (registrazione). Una risposta completa menziona tutti e tre gli elementi. Per l'autorizzazione, la risposta comune è che l'accesso viene concesso sulla base della funzione o del ruolo, che i diritti vengono rivisti in caso di cambio di funzione o cessazione del rapporto, e che c'è un controllo periodico degli account aperti. Se non c'è un processo consolidato ma l'accesso viene comunque concesso manualmente e in modo limitato, una risposta realistica è "in parte" con una breve spiegazione, non "sì".

Per l'autenticazione spesso viene chiesto separatamente se l'autenticazione a più fattori viene utilizzata per l'accesso ai sistemi aziendali — questa è una risposta autonoma, anche se il resto della politica di accesso è in ordine. Per la registrazione, il documento di prova è solitamente un'esportazione dal sistema di gestione dell'identità e degli accessi, o uno screenshot della struttura dei ruoli; un documento di politica senza un sistema sottostante raramente è convincente. Se manca tale prova, allora "no, non ancora formalizzato" è una risposta sostenibile — il rischio sta nel "sì" senza documentazione di supporto.

Rinvenibile nell'articolo 21 paragrafo 2 e nell'Allegato A

La gestione degli accessi è menzionata come misura autonoma nell'articolo 21 paragrafo 2 della direttiva NIS2, accanto al requisito più generale che la politica di accesso comprensiva della gestione dei beni aziendali sia documentata. In ISO/IEC 27001 lo stesso requisito ricorre nell'Allegato A, tra le misure di controllo per il controllo degli accessi; chi è già certificato per questo argomento può presentare quel certificato come documento di prova invece di raccogliere documenti separati.