zákazník sa pýta, ktorí dodávatelia majú prístup k našim systémom

Táto otázka kombinuje bezpečnosť v dodávateľskom reťazci a správu prístupu

Klient tu v podstate chce vedieť dve veci naraz: ktorí dodávatelia majú technicky prístup do systémov a či je táto politika prístupu pod kontrolou. To priamo sa dotýka politika prístupu vrátane správy aktív podniku — tu je uvedené, kto má povolenie niečo robiť a s akými právami. Dodávateľ, ktorý sa diaľkovo prihlasuje do systému, poskytuje vzdialenú podporu alebo spracováva údaje vo vlastnej aplikácii, spadá pod túto odpoveď.

Nejde len o IT-dodávateľov v klasickom zmysle. Účtovníctvo s prístupom do finančného systému, poskytovateľ hostingu, SaaS-nástroj s údajmi zákazníkov: všetci sú externí partneri s prístupom. To, či sa otázka vzťahuje aj na požiadavky, ktoré si podnik sám kladie na týchto dodávateľov — zmluvne, technicky, pokiaľ ide o právo auditu — závisí od formulácie v zozname otázok. Často ide o samostatnú otázku, ktorá nadväzuje na bezpečnostné požiadavky, ktoré podnik kladie svojim vlastným dodávateľom. Bez aktuálneho prehľadu vonkajšieho prístupu — zoznamu dodávateľov s typom prístupu pre každú stranu — neexistuje zdrojový dokument, na ktorý by bola táto odpoveď založená, a potom nie je možné odpoveď vyplniť.

Kde sa to nachádza v desiatich opatreniach

Politika prístupu a bezpečnosť v dodávateľskom reťazci sú dva samostatné opatrenia z desiatich z článku 21 ods. 2 smernice NIS2: bezpečnosť dodávateľského reťazca je v bode d, kontrola prístupu a správa aktív podniku v bode i. ISO/IEC 27001 to rozdeľuje podobne v prílohe A, s samostatnými kontrolnými opatreniami pre vzťahy s dodávateľmi a správu prístupu. Kto dostane túto otázku z Zákona o kybernetickej bezpečnosti, holandskej transpozície NIS2, môže očakávať, že obe perspektívy — kto má prístup a či je to kontrolované — sa v zozname objavia oddelene.