întreabă cine are acces la datele lor

Politica de acces, nu o listă de nume

Clientul de obicei nu dorește să știe ce persoană individuală se conectează, ci dacă există un sistem care reglementează cine poate accesa ce. Aceasta cade sub gestiunea accesului: cine are acces la ce sisteme și date, pe baza ce rol, și cum se acordă și se revocă acel acces. Răspunsul constă deci din două părți: politica (cum se acordă, revizuiește și revocă accesul la angajarea și eliberarea din serviciu) și practica (se lucrează cu drepturi bazate pe rol, privilegiu minim, verificare periodică a celor care mai au acces).

Dacă nu există un document distinct de politică de acces, dar practica este în regulă — de exemplu, roluri într-un sistem, un proces fix la angajare și eliberare din serviciu — aceasta este adesea suficient pentru a răspunde cu "da", cu condiția ca aceasta să fie cu adevărat demonstrabilă. Dacă lipsesc ambele, atunci "nu" este răspunsul onest; o întrebare privind aceasta nu se propune ca "da" fără o sursă în dosarul de lanț. Întrebări conexe de pe aceeași listă se referă adesea la autenticarea multifactor pentru sistemele de întreprindere și despre politica de analiză a riscurilor și securitate a sistemelor informatice — acestea două se referă la conținut una la cealaltă, deoarece accesul este de obicei una dintre măsurile de control care rezultă din analiza riscurilor.

Urmărire conform articolului 21 alineatul 2 și Anexei A

Gestiunea accesului este una dintre cele zece măsuri din articolul 21 alineatul 2 al Directivei NIS2 (Directiva (EU) 2022/2555): menționează în mod explicit politica pentru controlul accesului și gestiunea activelor corporate ca parte obligatorie a gestionării riscurilor. În ISO/IEC 27001, aceasta se regăsește în măsurile de control din Anexa A, sub categoria control al accesului. Clienții care înșiși cad sub Legea privind securitatea cibernetică — transpunerea neerlandeză a NIS2, care intră în vigoare pe 15 august 2026 — de aceea pun din ce în ce mai des această întrebare pe scară largă la furnizorii lor, chiar dacă ei înșiși nu sunt încă desemnați ca entitate sub directivă.