A política de acesso está documentada, incluindo a gestão de ativos da empresa?

A política de acesso e a gestão de ativos são duas medidas separadas

Esta questão frequentemente combina duas coisas: política de acesso (quem pode aceder a qual sistema e quais dados) e gestão de ativos empresariais, também denominada asset management (saber quais dispositivos, sistemas e suportes de informação possui, e quem é responsável por eles). No artigo 21.º, n.º 2 da Diretiva NIS2 estão estas duas de dez medidas obrigatórias lado a lado, mas não são sinónimos. Um cliente que coloca isto como uma única questão geralmente quer saber se tem ambas em ordem, não se são a mesma coisa.

Para a política de acesso é relevante se existe um procedimento para atribuição e revogação de direitos, se está vinculado a funções, e se autenticação multifator é utilizada para sistemas críticos. Para a gestão de ativos trata-se de um inventário atual de hardware, software e suportes de informação, incluindo quem é proprietário de cada ativo e o que acontece quando equipamento é desativado ou substituído. Se não tem uma política formalmente documentada mas sim uma prática funcional — por exemplo uma lista de utilizadores completa num sistema IAM, sem um documento de política associado — então "não" a esta questão é frequentemente factualmente mais correto do que um "sim" precipitado. A ausência de um documento é diferente da ausência da própria medida, e essa distinção é precisamente a razão pela qual esta resposta frequentemente permanece em "ainda a determinar" até saber qual é o comprovativo que o cliente espera: um documento de política, uma captura de ecrã da estrutura de direitos, ou uma declaração.

Onde isto se encontra: artigo 21.º, n.º 2 NIS2

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 menciona a política de controlo de acesso e a gestão de ativos como componentes separados dentro das dez medidas obrigatórias, juntamente com, entre outros, análise de risco e política de encriptação. A própria diretiva não prescreve um formato fixo: como uma empresa documenta e demonstra isto é da responsabilidade da empresa e do que o cliente que questiona aceita como prova no seu próprio portal.