klientas klausia, kaip mes sutvarkomę išorinių tiektuvų arba freelancerių prieigą

Trečiųjų šalių prieiga patenka į prieigos politiką, o ne į tiekimo grandinės valdymą

Šis klausimas priklauso organizacijos prieigos politikai, o ne klausimams apie patarėjus. Klientas nori žinoti, kaip tu užbrangi, kad laisvai samdomas darbuotojas ar išorinė šalis nesudarytų daugiau teisių nei reikalinga, ir kaip tu atšaukti tą prieigą, kai darbas baigtas. Atskleisk ir tai: klausimas apie saugos reikalavimus, kuriuos tu kelei išorinėms šalims, priklauso tiekimo grandinės valdymui, klausimas apie tai, kaip tos šalys pačios prisijungia prie jūsų sistemų, yra susijęs su prieiga. Klausimynai tai dažnai supainioja, tačiau tai yra dvi skirtingos priemonės iš NIS2 21 straipsnio 2 dalies ir du skirtingi ISO 27001 Priedo A skyriai.

Ką konkrečiai klausiama: ar turite procesą prieigai suteikti, keisti ir atšaukti (įdarbinimas ir atleidimas), ar naudojatės laikinu arba baigusiais pasibaigti išorinių asmenų paskyrų, ir ar taikomas mažiausios privilegijos principas — prieiga tik tam, kas reikalinga, o ne visam tinklui. Jei išoriniai asmenys gauna nuotolinę prieigą, dažnai taip pat klausiama, ar tai daugiaaspektė autentifikacija privaloma. Jei neturite atskiro išorinių šalių politikos, bet grįžtate prie bendro prieigos valdymo, kuriame nėra skirtumo tarp savų darbuotojų ir trečiųjų šalių, tai "ne" yra sąžiningas atsakymas — bendras slaptažodis arba paskyra, kuri lieka aktyvi pabaigus užduotį, neskaičiuojama kaip kontroliuojama prieiga.

Kur tai yra richtlinėje ir standarte

NIS2 21 straipsnio 2 dalis nurodo prieigos kontrolės politiką ir personalo saugą kaip dvi iš dešimties privalomų priemonių; ISO 27001 tai išaiškina Priede A prieigos kontrolės dalyje, ypač atkreipiant dėmesį į prieigą, kurią suteikia trečiosios šalys, ir jos atšaukimą sutarties pabaigoje.