ankieta pyta o naszą politykę dotyczącą urządzeń mobilnych i laptopów

Polityka urządzeń mobilnych wchodzi w zakres zarządzania aktywami i kontroli dostępu

To pytanie odnosi się do artykułu 21 ust. 2 lit. d i i dyrektywy NIS2: bezpieczeństwo przy pozyskiwaniu, opracowywaniu i utrzymaniu, oraz polityka kontroli dostępu obejmująca majątek trwały. Laptopy i telefony to "aktywa" — zasoby przedsiębiorstwa, na których znajdują się dane biznesowe lub za pomocą których istnieje dostęp do systemów. Klient chce więc wiedzieć, czy istnieje pisemna polityka określająca: kto może używać jakiego urządzenia, jak jest ono szyfrowane, co się dzieje w przypadku utraty lub kradzieży, a także czy użytkowanie prywatne urządzeń służbowych (lub odwrotnie, BYOD) jest dozwolone i na jakich warunkach.

Jeśli nie istnieje osobny dokument "polityka urządzeń mobilnych", to nie jest natychmiast problemem — sprawdź, czy jej istota znajduje się już gdzieś: w polityce dostępu obejmującej zasoby firmy, w oświadczeniu ISO 27001 w Załączniku A (zarządzanie aktywami i polityka urządzeń mobilnych znajdują się tam jako środki kontroli), lub w podręczniku IT. Jeśli całkowicie jej brakuje, to "nie" jest uczciwa odpowiedź — pisemna polityka to coś innego niż luźna praktyka bez dokumentacji. Szyfrowanie samych urządzeń również tutaj się zalicza; to nakłada się na pytanie dotyczące kryptografia i szyfrowanie, a warto wiedzieć, jaką odpowiedź tam już udzielono, aby te dwie nie były sprzeczne.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia pod lit. i "bezpieczeństwo personelu, politykę dostępu i zarządzanie zasobami przedsiębiorstwa" jako jeden z dziesięciu obowiązkowych środków; urządzenia mobilne przypadają pod ostatnią kategorię. ISO/IEC 27001 rozwinęło to dalej w Załączniku A, zawierającymi szczególne środki kontrolne dla "mobile devices" i "asset management" — organizacja posiadająca certyfikat ISO 27001 zwykle ma tę część już udokumentowaną. Ustawa o cyberbezpieczeństwie transpozycja tego obowiązku do prawa polskiego i wchodzi w życie 15 sierpnia 2026 r.; do tego dnia sama dyrektywa jest punktem odniesienia, a nie prawo krajowe.