eles querem saber como protegemos o trabalho remoto

A segurança do trabalho remoto enquadra-se no controlo de acesso e MFA

A questão dos postos de trabalho remotos geralmente não é um tema separado, mas uma execução de duas medidas mais amplas do artigo 21.º, n.º 2 NIS2: política de acesso (sob e, a "política e procedimentos relativos à utilização de criptografia" às vezes também se inclui como questão sobre encriptação VPN) e autenticação (sob j, autenticação multifator e comunicação segura). Os clientes querem saber concretamente se um posto de trabalho remoto está tão bem protegido quanto um posto de trabalho no escritório: é obrigatória uma VPN ou acesso zero-trust, a MFA está ativada para todas as ligações externas, e existe política sobre quais dispositivos (computador portátil da empresa versus telemóvel pessoal) podem ter acesso.

Se não o fixou explicitamente, a resposta mais honesta é "não" com uma explicação: por exemplo, que o acesso aos sistemas da empresa passa de qualquer forma por MFA, independentemente da localização do colaborador. Isso é frequentemente mais forte do que um "sim" parcialmente preenchido sobre uma política de trabalho remoto que não existe. Verifique primeiro se autenticação multifator para sistemas empresariais já foi fixado — se essa resposta é "sim", isso já cobre uma grande parte desta questão, porque a maioria dos clientes pergunta sobre trabalho remoto precisamente para verificar se o acesso está bem regulamentado independentemente da localização. Se faltam tanto a política VPN como a MFA, então a resposta "não" é óbvia, possivelmente com uma explicação sobre o que existe (por exemplo, apenas uma política de palavras-passe).

Onde isto é desenvolvido de forma mais concreta no Anexo A da ISO 27001

A ISO/IEC 27001 Anexo A desenvolve isto ainda mais sob as medidas de controlo para "trabalho remoto" e controlo de acesso, e muitas listas de verificação de bancos e grandes compradores baseiam-se diretamente nesta classificação do Anexo A — daí que a questão apareça frequentemente separada dos dez da NIS2. Se uma empresa pode dizer algo estruturado sobre isto depende também de saber se ela própria vai estar sujeita à Lei de Cibersegurança; se não for, uma resposta pragmática sobre a situação existente é suficiente. Se tem dúvidas sobre se a empresa está enquadrada, consulte se a empresa está enquadrada na NIS2 ou na transposição nacional — isto determina o peso que esta resposta deve ter na imagem global da lista.