client întreabă cum regulez accesul pentru furnizori externi sau freelanceri

Accesul pentru terți se încadrează în politica de acces, nu în managementul lanțului de aprovizionare

Această întrebare aparține politicii de acces a întreprinderii, nu întrebărilor despre furnizorii înșiși. Clientul dorește să știe cum previi ca un freelancer sau o parte externă să obțină mai multe drepturi decât sunt necesare și cum revoci acel acces imediat după finalizarea lucrării. Fă și tu această distincție: o întrebare despre cerințele de securitate pe care le impui părților externe se referă la managementul lanțului de aprovizionare, o întrebare despre modul în care acele părți se conectează la sistemele tale se referă la acces. Listele de întrebări pun adesea aceasta în aceeași oală, dar sunt două măsuri diferite din articolul 21 alineatul 2 NIS2 și două capitole diferite din Anexa A în ISO 27001.

Ce se întreabă concret: ai un proces pentru acordarea, modificarea și revocare a accesului (onboarding și offboarding), lucrezi cu conturi temporare sau expirate pentru externi, și se aplică principiul least privilege — acces doar la ceea ce este necesar, nu la întreaga rețea. Dacă externi primesc acces de la distanță, se întreabă adesea și dacă autentificare multifactor este obligatoriu. Dacă nu ai o politică separată pentru părți externe, dar te bazezi pe managementul general al accesului în care nu se face nicio distincție între propriii angajați și terți, atunci "nu" este răspunsul onest — o parolă partajată sau un cont care rămâne activ după finalizarea unei sarcini nu contează ca acces controlat.

Unde apare în directivă și în normă

Articolul 21 alineatul 2 NIS2 enumeră politica de control al accesului și securitatea personalului ca două dintre cele zece măsuri obligatorii; ISO 27001 elaborează aceasta în Anexa A sub controlul accesului, cu atenție specială la accesul de către terți și revocarea acestuia la expirarea contractului.