chiedono chi ha accesso ai loro dati

Politica di accesso, non un elenco di nomi

Il cliente solitamente non vuole sapere qui quale persona fisica accede, ma se esiste un sistema che regola chi ha accesso dove. Questo rientra nella gestione degli accessi: chi ha accesso a quali sistemi e dati, sulla base di quale ruolo, e come viene assegnato e revocato. La risposta consiste quindi in due parti: la politica (come viene concesso l'accesso, revisionato, revocato all'uscita dal servizio) e la pratica (si lavora con diritti basati su ruoli, principio del minimo privilegio, controllo periodico di chi ha ancora accesso).

Se non esiste un documento di politica di accesso separato ma la pratica è in ordine — ad esempio ruoli in un sistema, un processo fisso per assunzioni e licenziamenti — spesso è sufficiente per rispondere "sì", a condizione che sia anche veramente dimostrabile. Se mancano entrambi, allora "no" è la risposta onesta; una domanda al riguardo non viene presentata come "sì" senza che ci sia una fonte nel fascicolo della catena. Le domande correlate nella stessa lista spesso riguardano autenticazione a più fattori per i sistemi aziendali e su la politica per l'analisi dei rischi e la sicurezza dei sistemi informativi — questi due appartengono semanticamente insieme, poiché l'accesso è solitamente una delle misure di controllo che derivano dall'analisi dei rischi.

Tracciabile all'articolo 21 paragrafo 2 e Allegato A

La gestione degli accessi è una delle dieci misure dell'articolo 21, paragrafo 2, della direttiva NIS2 (Direttiva (UE) 2022/2555): esplicita la politica per il controllo degli accessi e la gestione dei beni aziendali come parte obbligatoria della gestione dei rischi. In ISO/IEC 27001 questo si ritrova nelle misure di controllo dell'Allegato A, nella categoria controllo degli accessi. I clienti che ricadranno sotto la Legge sulla cibersicurezza — il recepimento olandese della NIS2, che entra in vigore il 15 agosto 2026 — per questo motivo pongono sempre più spesso questa domanda standardmente ai loro fornitori, anche se loro stessi non sono ancora stati designati come entità secondo la direttiva.