cliente pergunta quais fornecedores têm acesso aos nossos sistemas

Esta questão combina segurança da cadeia e controlo de acessos

O cliente quer saber, na verdade, duas coisas ao mesmo tempo: quais fornecedores têm acesso técnico aos sistemas e se essa política de acesso está sob controlo. Isto toca diretamente no ponto a política de acesso incluindo a gestão de ativos empresariais — aí consta quem tem permissão para fazer algo, e com que direitos. Um fornecedor que se conecta remotamente a um sistema, presta suporte remoto, ou processa dados numa aplicação própria, abrange-se por esta resposta.

Não se trata apenas de fornecedores de TI no sentido clássico. Um gabinete de contabilidade com acesso ao sistema financeiro, uma entidade de alojamento, uma ferramenta SaaS que contém dados de clientes: são todas partes externas com acesso. Se a questão também se refere aos requisitos que a própria empresa estabelece a esses fornecedores — contratualmente, tecnicamente, quanto ao direito de auditoria — depende da formulação na lista de questões. Frequentemente é uma questão separada, que se articula com os requisitos de segurança que a empresa estabelece para os seus próprios fornecedores. Sem um inventário atual do acesso externo — uma lista de fornecedores com o tipo de acesso por parte — não existe documento de base em que fundamentar esta resposta, e nesse caso a resposta ainda não é passível de ser preenchida.

Onde está isso nas dez medidas

A política de acesso e a segurança da cadeia são duas medidas separadas dentro das dez do artigo 21.º, n.º 2 da Diretiva NIS2: a segurança da cadeia consta na alínea d), o controlo de acessos e a gestão de ativos empresariais na alínea i). A ISO/IEC 27001 divide isto de forma comparável no Anexo A, com medidas de controlo separadas para relações com fornecedores e para controlo de acessos. Quem receber esta questão sob a Cyberbeveiligingswet, a transposição holandesa da NIS2, pode esperar que ambas as perspetivas — quem tem acesso e se isso está controlado — voltem a aparecer separadamente na lista.