klient pyta, jak regulujemy dostęp dla zewnętrznych dostawców lub freelancerów

Dostęp stron trzecich podlega polityce dostępu, a nie zarządzaniu łańcuchem

To pytanie należy do polityki dostępu przedsiębiorstwa, a nie do pytań dotyczących samych dostawców. Klient chce wiedzieć, jak uniemożliwić pracownikowi kontraktowemu lub stronie trzeciej uzyskanie większych uprawnień niż niezbędne, oraz jak wycofać dostęp po zakończeniu pracy. Rozróżnij to sam: pytanie dotyczące wymogów bezpieczeństwa stawianych stronom trzecim dotyczy zarządzania łańcuchem, pytanie dotyczące sposobu logowania się tych stron do Twoich systemów dotyczy dostępu. Kwestionariusze często mieszają te kwestie, ale są to dwa różne środki z artykułu 21 ust. 2 dyrektywy NIS2 i dwa różne rozdziały Załącznika A normy ISO 27001.

Co dokładnie się pyta: czy masz proces udzielania, zmiany i cofania dostępu (onboarding i offboarding), czy korzystasz z kont tymczasowych lub wygasłych dla stron zewnętrznych, oraz czy obowiązuje zasada najmniejszych uprawnień — dostęp tylko do tego, co niezbędne, a nie do całej sieci. Jeśli strony trzecie otrzymują dostęp zdalny, często pyta się również, czy uwierzytelnianie wieloskładnikowe jest obowiązkowe. Jeśli nie masz odrębnej polityki dla stron trzecich, ale polegasz na ogólnym zarządzaniu dostępem, w którym nie ma rozróżnienia między pracownikami własnymi a stronami trzecimi, wtedy "nie" jest uczciwą odpowiedzią — udostępnione hasło lub stale aktywne konto po zakończeniu projektu nie liczy się jako kontrolowany dostęp.

Gdzie to znajduje się w dyrektywie i normie

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia politykę kontroli dostępu i bezpieczeństwo personelu jako dwa z dziesięciu obowiązkowych środków; norma ISO 27001 rozwija to w Załączniku A w sekcji kontroli dostępu, ze szczególną uwagą na dostęp stron trzecich i jego cofnięcie po zakończeniu umowy.