kaip atsakau į klausimą apie saugą dirbant iš namų

Nuotolinis darbas patenka į prieigos politiką ir MFA, o ne į atskirą langelį

Klausimai apie nuotolinį darbą paprastai nėra atskiras dėmesys, o veikiau dviejų iš dešimties priemonių, nurodytų NIS2 21 straipsnio 2 dalyje, detal: prieigos politika (i punktas) ir kelių veiksnių autentifikavimo naudojimas arba panašūs saugūs ryšiai (j punktas). Todėl jį užpildykite ne atskirai, bet nuosekliai su tuo, ką jau atsakėte Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen ir klausimą apie kelių veiksnių autentifikavimą. Jei atsakymas ten nesutampa su tuo, ką čia sakote, tai pirmiausia pamatys vertintojas.

Konkrečiai kliento dažnai domina: ar darbuotojai prisijungia per VPN arba zero-trust ryšį, ar MFA yra privalomas tame ryšyje, ar yra prietaisų politika privatiems ir verslo nešiojamiesiems kompiuteriams, ir ar yra pagrindinė taisyklė apie viešąjį WiFi. Jei turite tai ne kaip atskirą politikos dokumentą, o kaip dalį platesnio IKT reglamento, tai yra pakankamas įrodymas – cituokite tą dalį, ne visą dokumentą. Jei trūksta vienos iš keturių dalių, tada neatsakykite automatiškai "ne": nurodykite, kas iš tikrųjų yra (pavyzdžiui, MFA yra, prietaisų politika nėra) ir leiskite klientui pačiam įvertinti tolesnius klausimus. Jei neturite nė vieno iš jų, tada "ne, dar nesuformalizuota" faktiškai tiksliau nei pusiau "taip", kurio negalite pagrįsti.

Iš kur tai kilęs: NIS2 21 straipsnio 2 dalies i ir j punktai

NIS2 21 straipsnio 2 dalis i punkte minima "politika ir procedūros dėl kriptografijos naudojimo" – ne, tai h punktas; i punktas susijęs su personalo saugumu, prieigos politika ir turto valdymu, o j punktas konkrečiai su kelių veiksnių autentifikavimo arba nuolatinio autentifikavimo sprendimų, šifruoto ryšio ir saugios avarinės komunikacijos naudojimu subjekto viduje. ISO/IEC 27001 Priedas A tai toliau plėtoja nuotolinio darbo ir tinklo prieigos kontroliniais punktais. Cyberbeveiligingswet tą pat padalijimą tiesiogiai perima, kai jis prasidės 2026 m. rugpjūčio 15 d., todėl atsakymas, kuris jau dabar atitinka šiuos du punktus, išliks naudingas ir po tos datos.