viņi jautā, kuriem visu pieejams piekļūt viņu datiem

Piekļuves politika, nevis vārdu saraksts

Klients parasti vēlas zināt nevis to, kura konkrētā persona piesakās, bet gan to, vai pastāv sistēma, kas regulē, kurš kur var piekļūt. Tas ietilpst piekļuves pārvaldībā: kurš ir piekļuvis kādiem sistēmiem un datiem, pamatojoties uz kādu lomu, un kā tas tiek dots un atņemts. Atbilde sastāv no divām daļām: politika (kā tiek dota piekļuve, pārskatīta, atņemta darbinieka atlaišanas gadījumā) un prakse (vai tiek izmantoti lomu balstīti tiesumi, minimālās privileģijas, periodisks pārbaude, kurš joprojām ir piekļuvis).

Ja nav atsevišķa piekļuves politikas dokumenta, bet prakse ir kārtībā — piemēram, lomas sistēmā, fiksēts process darbinieka pieņemšanas un atlaišanas laikā — tas bieži ir pietiekams, lai atbildētu "jā", ja tas ir patiešam pierādāms. Ja trūkst abas, tad "nē" ir godīgā atbilde; uz jautājumu par to neieteikti atbildēt "jā" bez avota ķēdes dokumentā. Saistītie jautājumi tajā pašā sarakstā bieži attiecas uz daudzfaktoru autentifikācija uzņēmuma sistēmām un par riska analīzes politiku un informācijas sistēmu aizsardzību — šīs divas pieder viena otrai pēc satura, jo piekļuve parasti ir viena no kontroles pasākumiem, kas izriet no riska analīzes.

Jāatgriež uz NIS2 direktīvas 21. panta 2. punktu un A pielikumu

Piekļuves pārvaldība ir viens no desmit pasākumiem saskaņā ar NIS2 direktīvas 21. panta 2. punktu (Direktīva (ES) 2022/2555): tajā ir nepārprotami norādīta politika piekļuves kontrolei un uzņēmuma aktīvu pārvaldībai kā obligāta riska pārvaldības daļa. ISO/IEC 27001 standartā tas parādās Pielikuma A kontroles pasākumos kategorijas "access control" ietvaros. Klienti, kuri paši nonāks Kiberdrošības likuma darbības jomā — Nīderlandes NIS2 transponēšana, kura stājas spēkā 2026. gada 15. augustā —, tāpēc arvien biežāk uzliek šo jautājumu saviem piegādātājiem standarta kārtībā, pat ja paši vēl nav noteikti kā viendabas saskaņā ar direktīvu.