vor să știe cum asigurăm munca de acasă

Securitatea muncii de acasă face parte din controlul accesului și MFA

Întrebarea privind locurile de muncă de acasă nu este de obicei un subiect separat, ci o dezvoltare a două măsuri mai largi din articolul 21 alineatul 2 NIS2: politica de acces (sub e, "politica și procedurile privind utilizarea criptografiei" uneori include și întrebarea privind criptarea VPN) și autentificare (sub j, autentificarea multifactor și comunicare sigură). Clienții vor să știe în mod concret dacă un loc de muncă de acasă este la fel de bine protejat ca un loc de muncă la birou: este VPN sau acces zero-trust obligatoriu, MFA este activat pentru toate conexiunile externe, și există politici privind ce dispozitive (laptop de companie versus telefon personal) pot avea acces.

Dacă nu ai stabilit asta în mod explicit, răspunsul cel mai cinstit este "nu" cu o explicație: de exemplu, accesul la sistemele companiei trece oricum prin MFA, indiferent de locația angajatului. Asta este adesea mai puternic decât un "da" incomplet cu privire la o politică de muncă de acasă care nu există. Verifică mai întâi dacă autenticarea multifactor pentru sistemele de întreprindere a fost deja stabilit — dacă acel răspuns este "da", asta acoperă deja o mare parte din această întrebare, deoarece cei mai mulți clienți pun întrebări despre munca de acasă tocmai pentru a verifica dacă accesul este bine organizat independent de locație. Dacă lipsesc atât politica VPN, cât și MFA, răspunsul "nu" se impune, posibil cu o explicație despre ce existe (de exemplu, doar o politică de parolă).

Unde aceasta se detaliază în Anexa A a ISO 27001

ISO/IEC 27001 Anexa A elaborează aceasta mai departe sub măsurile de control pentru "munca la distanță" și controlul accesului, iar multe întrebări din chestionarele bancilor și ale marilor beneficiari de servicii se bazează direct pe structura Anexei A — de aceea întrebarea apare adesea separat de cei zece din NIS2. Dacă o întreprindere poate spune ceva structural despre aceasta depinde și de faptul dacă ea însăși cade sub Legea Cibersecurității; dacă nu este cazul, un răspuns pragmatic despre situația existentă este suficient. Dacă te îndoiești dacă întreprinderea cade sub aceasta, verifică la dacă întreprinderea cade sub NIS2 sau sub transpunerea națională — asta determină cât de greu trebuie să cântărească acest răspuns în imaginea generală a chestionarului.