jautājumkopa jautā par mūsu politiku mobilajiem aparātiem un klēpjdatoriem

Mobilās ierīces politika ietilpst līdzekļu pārvaldības un piekļuves jomā

Šis jautājums attiecas uz NIS2 direktīvas 21. panta 2. punkta d un i apakšpunktu: drošības nodrošināšana iegādes, izstrādes un uzturēšanas laikā, un piekļuves kontroles politika, ieskaitant uzņēmuma līdzekļus. Klēpjdatori un tālruņi ir "assets" — uzņēmuma līdzekļi, kuros atrodas uzņēmuma dati vai ar kuriem pastāv piekļuve sistēmām. Klients tātad vēlas uzzināt, vai pastāv rakstīta politika, kas regulē: kurš drīkst izmantot kādu ierīci, kā tā ir šifrēta, kas notiek zaudēšanas vai zādzības gadījumā, un vai privāta uzņēmuma ierīču izmantošana (vai otrādi, BYOD) ir atļauta un kādi ir tās nosacījumi.

Ja mobilo ierīču politika neeksistē kā atsevišķs dokuments, tas nav pats par sevi problēma — pārbaudiet, vai tā kodols jau ir kaut kur: piekļuves politikā, ieskaitant uzņēmuma resursus piekļuves politikā, ieskaitant uzņēmuma resursus, ISO 27001 deklarācijā pie Pielikuma A (aktīvu vadība un mobilo ierīču politika tur ir iekļautas kā kontroles pasākumi), vai IT rokasgrāmatā. Ja tas pilnīgi trūkst, tad "nē" ir godīgā atbilde — rakstisks noteikums ir kaut kas cits nekā izklaidīga prakse bez dokumentēšanas. Pašu ierīču šifrēšana arī pieder šeit; tas pārklājas ar jautājumu par kriptogrāfija un šifrēšana, un ir lietderīgi zināt, kāds atbilums tur jau ir sniegts, lai abi neitrumpītos savā starpā.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

NIS2 direktīvas 21. panta 2. punkts minē i apakšpunktā "personāla drošība, piekļuves politika un uzņēmējdarbības līdzekļu pārvaldīšana" kā vienu no desmit obligātajiem pasākumiem; mobilās ierīces ietilpst pēdējā jomā. ISO/IEC 27001 to tālāk detalizē Pielikumā A, norādot specifiskus pārvaldības pasākumus "mobile devices" un "asset management" — organizācijai ar ISO 27001 sertifikātu šī daļa parasti jau ir dokumentēta. Kibernetiskās drošības likums šo obligāto pasākumu transponē Latvijas likumā un stājas spēkā 2026. gada 15. augustā; līdz tam direktīva pati ir atskaites punkts, nevis nacionālais likums.