klients jautā, kā mēs regulējam piekļuvi ārējiem piegādātājiem vai brīvprātīgajiem

Trešo pušu piekļuve ietilpst piekļuves politikā, nevis piegādes ķēdes pārvaldībā

Šis jautājums attiecas uz uzņēmuma piekļuves politiku, nevis uz jautājumiem par pašiem piegādātājiem. Klients vēlas zināt, kā tu novērsī, ka nozarē strādājošais darbinieks vai ārējā puse saņem vairāk tiesību nekā nepieciešams, un kā tu atņem piekļuvi, kad darbs ir pabeigts. Izšķir to pats: jautājums par drošības prasībām, kuras tu izvirzi ārējām pusēm, attiecas uz piegādes ķēdes pārvaldību, bet jautājums par to, kā šīs puses paši piesakās jūsu sistēmās, attiecas uz piekļuvi. Jautājumu saraksti to bieži jaucē, bet tās ir divas dažādas drošības izziņas no NIS2 21. panta 2. punkta un divas dažādas Annex A nodaļas ISO 27001 standartā.

Ko konkrēti tiek jautāts: vai tev ir process piekļuves piešķiršanai, maiņai un atsaukšanai (onboarding un offboarding), vai strādā ar pagaidu vai derīguma termiņu beidzis kontiem ārējām pusēm, un vai tiek piemērots minimālo tiesību princips — piekļuve tikai tam, kas nepieciešams, nevis visam tīklam. Ja ārējās puses saņem attālās piekļuves iespēju, parasti tiek jautāts arī par to, vai vairāku faktoru autentifikācija ir obligāts. Ja tev nav atsevišķas politikas ārējām pusēm, bet tu paļauies uz vispārējās piekļuves pārvaldību, kurā nav izšķirtas starpības starp saviem darbiniekiem un trešām pusēm, tad "nē" ir godīga atbilde — kopīgs parole vai nepārtraukti aktīvs konts pēc uzdevuma pabeigšanas neskaitās par kontrolētu piekļuvi.

Kur tas atrodams direktīvā un standartā

NIS2 21. panta 2. punkts nosaka piekļuves kontroles politiku un personāla drošību kā divas no desmit obligātajām drošības izziņām; ISO 27001 šo detalizē Annex A piekļuves kontroles ietvaros, īpašu uzmanību pievēršot trešo pušu piekļuvei un tās atsaukšanai līguma beigās.