klients vaicā, kā mēs vadām ārējo piegādātāju piekļuvi

Piekļuve ārējiem piegādātājiem ir daļa no Direktīvas 21. panta 2. punkta

Šis jautājums ir par to, kā jūs pārvaldāt trešo personu piekļuvi jūsu sistēmām un datiem, un tas vienlaikus skar divas no desmit pasākumiem, kas noteikti Direktīvas 21. panta 2. punktā: apakšpunkts (i), piekļuves politika, un apakšpunkts (d), piegādes ķēdes drošība attiecībā uz piegādātājiem. Tāpēc klients vēlas uzzināt ne tikai to, vai ārējām pusēm ir piekļuve, bet arī to, kā šī piekļuve ir ierobežota, kurš to piešķir un atņem, un vai šis process ir dokumentēts. Atbilde, piemēram, "piegādātāji saņem piekļuvi tikai pēc apstiprināšanas", ir pārāk neskaidra, ja nav norādīts, kā apstiprināšana norisinās un cik bieži to pārskata.

Tas, kas jums konkrēti nepieciešams: ārējo kontu autorizācijas procesa apraksts, jēdzīgi ar norādi uz vismazākā privilēģija principu (piekļuve ierobežota tikai tam, kas nepieciešams) un laika posmā, kurā piekļuve tiek pārskatīta vai atņemta, kad uzdevums beidzas. Ja šis process pietrūkst, tad godīgā atbilde šeit ir "nē" — sugestoša "jā" bez pamatā esošā dokumenta klienta pārbaudes gadījumā rada lielāku kaitējumu nekā nē ar skaidrojumu, ka politika tiek izstrādāta. Šī tēma pārklājas ar piekļuves politiku un uzņēmuma līdzekļu pārvaldību, kur tiek aplūkota plašāka autorizācijas struktūra, un ar jautājumu, vai uzņēmums nosaka prasības saviem piegādātājiem, jo ārējās piekļuves pārvaldīšana praksē bieži ir daļa no tās pašas piegādes ķēdes politikas.

Kur tas atrodas: Direktīvas 21. panta 2. punkts, apakšpunkti (d) un (i)

Direktīvas (ES) 2022/2555 21. panta 2. punkts piemin apakšpunktā (i) "piekļuves kontroles politiku" kā vienu no desmit obligātajiem pasākumiem, un apakšpunktā (d) piegādes ķēdes aizsardzību, ieskaitant attiecības ar piegādātājiem — ārējā piekļuve ietilpst abos. ISO/IEC 27001 Pielikumā A ir izstrādāti atbilstošie kontroles pasākumi piekļuves pārvaldīšanai un piegādātāju attiecībām kontroles līmenī, kas izskaidro, kāpēc klients bieži vien pieprasa konkrētu Pielikuma A kontroles numuru, nevis pašu direktīvas tekstu. Uzņēmumiem, kas ietilpst Nīderlandes transponēšanas darbības jomā, šī prasība atgriežas Kiberdrošības likumā, kas stājas spēkā 2026. gada 15. augustā.