kaip atsakau į klausimą apie VPN ir saugų nuotolinį prieigą

Klausimas siekia ne tik VPN

VPN yra viena technika, tačiau pats klausimas yra apie nuotolinės prieigos apsaugą iš viso. Tai patenka į Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies (i) punktą iš dešimties priemonių: personalo saugumas, prieigos politika ir verslo išteklių valdymas. Kliento, kuris klausia apie "saugią nuotolinę prieigą", ketina sužinoti, ar naudojamas VPN arba panašus šifrų ryšys, arba ar daugiafaktorinė autentifikacija yra privaloma, ir ar prieiga apribota tuo, ko žmogui reikia savo funkcijai atlikti. Todėl neatsakykite tik "taip, mes naudojame VPN" — pridėkite, ar tai yra privaloma visai išorinei prieigai, ir ar yra laiko riba arba automatinis atsijungimas.

Jei neturi VPN, bet turi kitą mechanizmą — zero-trust sprendimą, šliuzą su sertifikato autentifikacija, debesų aplinką be lokalaus tinklo — tada "ne" tiesioginiame VPN klausime nėra klaidinga, tačiau nepilna. Tokiu atveju aprašykite, ką jūs naudojate, nes jūsų kliento portalas iš tikro klausia apie tikslą (šifruotą, kontroliuojamą prieigą), o ne apie konkretų produktą. Jei nėra nuotolinės prieigos daugiafaktorinės autentifikacijos, tai dažnai atsiranda kaip atskiras klausimas sąraše, žr. Ar daugiafaktorinė autentifikacija naudojama prieigai prie verslo sistemųJei jūs nėra dokumentavę, kas gali prisijungti iš nuotolio ir su kokiomis teisėmis, tai taip pat paliečia platesnį prieigos politikos klausimą, žr. ar prieigos politika nustatyta, įskaitant verslo turto valdymą.

Kur tai yra richtlinėje ir standarte

Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies (i) punktas nurodo personalo saugumą, prieigos politiką ir verslo išteklių valdymą kaip vieną iš dešimties privalomų priemonių; nuotolinė prieiga patenka į šią kategoriją. ISO/IEC 27001 Priedas A tai toliau detalizuoja konkrečiomis prieigos saugumo ir tinklo saugumo priemonėmis, kai VPN naudojimas paprastai yra dokumentuojamas. Kibernetinio saugumo įstatymas, Nyderlandų NIS2 transformacijos įgyvendinimas, įsigalioja 2026 m. rugpjūčio 15 d. ir nustato tuos pačius dešimt priemonių subjektams, kurie patenka į šio įstatymo taikymo sritį.