Ar nustatytas prieigos politika, įskaitant verslo turto valdymą?

Prieigos strategija ir turto valdymas yra dvi atskiros priemonės

Šis klausimas dažnai sujungia du dalykus: prieigos strategija (kas gali pasiekti kurią sistemą ir kokius duomenis) ir turto valdymą, dar vadinamą asset management (žinoti, kokius įrenginius, sistemas ir informacijos nešiklius turite, ir kas už juos atsakingas). NIS2 direktyvos 21 straipsnyje, 2 dalyje šios dvi priemonės iš dešimties privalomų priemonių yra išvardytos viena šalia kitos, bet jos nėra sinonimai. Kliento, pateiksiančio tai kaip vieną klausimą, tikslas paprastai yra sužinoti, ar abi priemonės yra sutvarkyta, o ne ar jos yra vienodos.

Prieigos strategijai aktualu tai, ar yra procedūra teisėms suteikti ir atšaukti, ar tai susieta su pareigybėmis, ir ar daugiaaspektė autentifikacija naudojama svarbiausiose sistemose. Turto valdymui svarbu šiuolaikiški aparatūros, programinės įrangos ir informacijos nešiklių sąrašai, įskaitant kiekvieno turto savininką ir tai, kas atsitinka aparatūrai išiejus iš naudojimo arba ją pakeitus. Jei neturi formaliai sutvarkytosios strategijos, tačiau turi veikiančią praktiką — pavyzdžiui, patikrintą vartotojų sąrašą IAM sistemoje, be to, kad prie jos būtų strateginis dokumentas — šiame klausime "ne" dažnai yra faktiškai tikslesnis nei iš anksto pagreitinta "taip". Dokumento nebuvimas skiriasi nuo pačios priemonės nebuvimo, ir tik toks skirtumas yra priežastis, kodėl šis atsakymas dažniausia išlieka pasirinktas "dar turėtina nustatyti", kol nežinai, kokį įrodymą klienatas tikisi: strateginio dokumento, prieigos struktūros ekrano nuotrauką ar pareiškimą.

Kur tai yra: NIS2 21 straipsnio 2 dalis

Direktyvos (ES) 2022/2555 21 straipsnyje, 2 dalyje prieigos kontrolės strategija ir turto valdymas minimi kaip atskiros priemonės tarp dešimties privalomų priemonių, kartu su tokiais dalykais kaip rizikos analizė ir šifravimo strategija. Direktyva pati nepaskirsto fiksuoto formato: kaip įmonė tai nustato ir parodo, priklauso nuo įmonės ir nuo to, ką klausiantis klientas savo portale priima kaip įrodymą.