lista pytań chce wiedzieć, jak regulujemy dostęp do systemów, jak odpowiadam
Kontrola dostępu polega na autoryzacji, weryfikacji i rejestrowaniu
To pytanie należy do zasad kontroli dostępu, a większość list pytań dzieli je na trzy części: jak przyznawany i odwoływany jest dostęp (autoryzacja), jak weryfikowana jest tożsamość użytkownika (uwierzytelnianie) oraz czy jest rejestrowane, kto, kiedy i do jakiego systemu miał dostęp (rejestrowanie). Kompletna odpowiedź obejmuje wszystkie trzy elementy. W odniesieniu do autoryzacji typową odpowiedzią jest to, że dostęp jest przyznawany na podstawie funkcji lub roli, że uprawnienia są przeglądane w przypadku zmiany funkcji lub rozwiązania stosunku pracy oraz że istnieje okresowa kontrola aktywnych kont. Jeśli nie ma ustalonego procesu, ale dostęp jest przyznawany ręcznie i w ograniczonym zakresie, rzeczywistą odpowiedzią jest "częściowo" z krótkim wyjaśnieniem, a nie "tak".
Do uwierzytelniania często zadawane jest osobno pytanie, czy do dostępu do systemów firmowych używane jest uwierzytelnianie wieloskładnikowe — jest to niezależna odpowiedź, nawet jeśli zasada dostępu jest w inny sposób prawidłowa. W przypadku rejestrowania dowodem jest zwykle eksport z systemu zarządzania tożsamością i dostępem lub zrzut ekranu struktury ról; dokument polityki bez podstawowego systemu rzadko przekonuje. Jeśli tego dowodu brakuje, "nie, jeszcze nie sformalizowane" jest uzasadnioną odpowiedzią — ryzyko polega na "tak" bez poparcia dowodem.
Sięgające do artykułu 21 ust. 2 i Załącznika A
Kontrola dostępu jest wymieniona jako oddzielne środki w artykule 21 ust. 2 dyrektywy NIS2, obok szerszego wymogu, aby polityka dostępu, w tym zarządzanie aktywami firmy była udokumentowana. W ISO/IEC 27001 ten sam wymóg pojawia się w Załączeniu A wśród środków kontrolnych do kontroli dostępu; ci, którzy posiadają już certyfikat w tym zakresie, mogą przedłożyć ten certyfikat jako dowód zamiast gromadzić odrębne dokumenty.
Ta odpowiedź dotyczy każdego rodzaju kwestionariusza, nie tylko pytań dotyczących cyberbezpieczeństwa od twojego klienta, odpowiedź udzielona. Pełne wyjaśnienie — ze źródłami, specyficznymi dla kraju szczegółami i powiązanymi tematami — znajduje się na portalu.
To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.
Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.