Vai piekļuves politika ir dokumentēta, tostarp uzņēmuma līdzekļu pārvaldīšana?

Piekļuves politika un līdzekļu pārvaldība ir divi atsevišķi pasākumi

Šis jautājums bieži sapina divas lietas: piekļuves politiku (kurš drīkst piekļūt kādai sistēmai un kādiem datiem) un uzņēmuma līdzekļu pārvaldību, ko sauc arī par asset management (zināt, kādi ir jūsu ierīces, sistēmas un informācijas nesēji, un kurš par tiem ir atbildīgs). NIS2 direktīvas 21. panta 2. punktā šie ir divi no desmit obligātajiem pasākumiem blakus viens otram, bet tie nav sinonīmi. Klients, kurš to iesniedz kā vienu jautājumu, parasti vēlas uzzināt, vai abi ir kārtībā, nevis vai tie ir vienas un tās pašas lietas.

Piekļuves politikai ir svarīgi, vai ir procedūra tiesību piešķiršanai un atņemšanai, vai tā ir saistīta ar funkcijām, un vai vairāku faktoru autentifikācija tiek izmantota kritiskajām sistēmām. Līdzekļu pārvaldības gadījumā runa ir par pašreizējiem aparatūras, programmatūras un informācijas nesēju sarakstiem, ieskaitant to, kurš ir katra līdzekļa īpašnieks un kas notiek, kad aparatūra tiek izņemta no ekspluatācijas vai aizstāta. Ja jums nav formāli noteiktas politikas, bet ir strādājoša prakse — piemēram, drošs lietotāju saraksts IAM sistēmā bez pievienotā politikas dokumenta — tad "nē" uz šo jautājumu bieži vien ir faktiskāk pareizāks atbild nekā pārsteidzīgs "jā". Dokumenta trūkums ir atšķirīgs no paša pasākuma trūkuma, un tieši šī atšķirība ir iemesls, kāpēc šis atbildes parasti paliek uz "vēl jānosaka", līdz jūs zināt, kādu pierādījumu dokumentu klients sagaida: politikas dokumentu, tiesību struktūras ekrānuzņēmumu vai paziņojumu.

Kur tas atrodas: NIS2 21. panta 2. punkts

Direktīvas (ES) 2022/2555 21. panta 2. punkts min piekļuves kontroles politiku un līdzekļu pārvaldību kā atsevišķas sastāvdaļas desmit obligāto pasākumu ietvaros, kopā ar tādiem kā riska analīze un šifrēšanas politika. Direktīva pati neparedz fiksētu formātu: to, kā uzņēmums to dokumentē un pierāda, ir atkarīgs no uzņēmuma un no tā, ko vaicājošais klients savā portālā pieņem kā pierādījumu.