klausimynas klausia, ar darbuotojai dirba per VPN, kaip tai pagrindžiu

VPN yra techninė priemonė, o ne atskiras priemonės tipas

VPN patenka į prieigos kontrolę ir ryšių šifravimą, o ne į atskirą kategoriją. NIS2 direktyvos 21 straipsnio 2 dalyje nėra tiesioginio VPN reikalavimo; dešimt ten nurodytų priemonių suformuluotos funkciškai, be kita ko, pagal f punktą (prieigos politika) ir h punktą (šifravimas). Klientas, kuris konkrečiai klaupia apie VPN, paprastai šią funkcinę reikalavimą vertina į vieną konkrečią techniką — dažnai todėl, kad jo paties klausimų sąrašo formatas tai nurodo, o ne todėl, kad įstatyme vartojamas šis žodis.

Kai darbuotojai per VPN dirba iš nuotolio, pagrindimas paprastai yra dokumentas iš prieigos politikos, kuriame VPN nurodomas kaip reikalavimas nuotolinei prieigai, gerai papildytas konfigūracijos apžvalga arba administravimo konsolės ekrano kopija. Jei šis dokumentas yra nepavykęs, tai "ne" su trumpu paaiškinimu (pavyzdžiui: prieiga iš nuotolio vyksta per kitą kontroliuojamą metodą) yra geriau nei VPN atsakymas be šaltinio — dossier užpildo tik tai, ką gali pagrįsti, ir abejoje vietoje laukas lieka atviras savarankiškam užpildymui. Tai atitinka prieigos politika ir įmonės turto valdymutą, kur VPN paprastai yra viena iš nurodytų kontrolės priemonių šalia slaptažodžio politikos ir įrenginio valdymo.

Iš kur tai kilę: A priedas ir 21 straipsnio 2 dalis

ISO/IEC 27001 A priedas nurodo tinklo saugą ir kriptografinius valdymo priemones, bet ir ten VPN nepaminimas - tai yra įgyvendinimo pasirinkimas pagal platesnę kontrolę. Kurie jau yra ISO 27001 sertifikuoti, šiam klausimui paprastai gali nurodyti Taikymo deklaraciją, o ne ieškoti atskiro VPN įrodymo; žr. ką ISO 27001 sertifikatas apima ir ko ne. Įmonėms, kurios pateks po Kibernetinio saugumo įstatymu, kai jis įsigalios 2026 m. rugpjūtį 15 d., galioja tas pats funkcinis NIS2 transponavimo formulavimas — įstatymas nustato tikslą, o ne priemonę.