klientas klausia, kurie tiekėjai turi prieigą prie mūsų sistemų

Šis klausimas sujungia tiekimo grandinės saugumą ir prieigos kontrolę

Klientas iš esmės nori sužinoti du dalykus vienu metu: kurie tiekėjai techniškai turi prieigą prie sistemų ir ar tos prieigos politika yra kontroliuojama. Tai tiesiogiai paveikia prieigos politiką, įskaitant verslo išteklių valdymą — čia nurodoma kas ką gali daryti ir kokiomis teisėmis. Tiekėjas, kuris nuotoliniu būdu prisijungia prie sistemos, teikia nuotolinę pagalbą arba duomenis apdoroja savoje aplikacijoje, patenka į šį atsakymą.

Tai susiję ne tik su IT tiekėjais klasikiniu žodžio prasme. Buhalterinė įmonė, turinčanti prieigą prie finansinės sistemos, hosting paslaugų teikėjas, SaaS priemonė, kurioje yra kliento duomenys: tai visos išorinės šalys, turinčios prieigą. Tai, ar klausimas taip pat susiję su reikalavimais, kuriuos pati organizacija keliaAtsakymų reikalavimų ir klausimo formulavimo aspektu, priklauso nuo klausimyno formulavimo. Dažnai tai atskiras klausimas, kuris susieja su saugumo reikalavimais, kuriuos organizacija ima prie savo tiekėjų. Be aktualaus išorinės prieigos sąrašo — tiekėjų sąrašo su kiekvienos šalies prieigos tipu — nėra šaltinio dokumento, kuriuo būtų grindžiamas šis atsakymas, ir tada atsakymas dar negali būti užpildytas.

Kur tai yra dešimtyje priemonių

Prieigos politika ir tiekimo grandinės saugumas yra dvi atskiros priemonės iš dešimties pagal NIS2 direktyvos 21 straipsnio 2 dalį: tiekimo grandinės saugumas yra d punkte, prieigos kontrolė ir verslo išteklių valdymas — i punkte. ISO/IEC 27001 tai panašiai dalina Priede A, atskirai naudodama tiekėjų santykių valdymo ir prieigos kontrolės priemones. Kas gauna šį klausimą pagal Kibernetinio saugumo įstatymą — NIS2 direktyvos Nyderlandų transpoziciją — gali tikėtis, kad abu aspektai — kas turi prieigą ir ar tai yra kontroliuojama — atskirai atsiras sąraše.