zákazník sa pýta, ako chránime prácu z domu, čo tam vyplním

Práca z domu patrí pod politiku prístupu, nie pod samostatné opatrenie

V článku 21 ods. 2 NIS2 alebo v prílohe A normy ISO 27001 sa nenachádza samostatný bod "práca z domu". Otázka sa v praxi rieši kombináciou: politika prístupu a správa podnikových prostriedkov, viacfaktorová autentifikácia a prípadne šifrovanie údajov, ktoré opúšťajú podnikovú sieť. Ak váš klient pýta "ako zabezpečujete prácu z domu", zvyčajne ide o skrátenú verziu otázky: ako regulujete prístup k podnikovým systémom z miesta mimo kancelárie a na akom zariadení.

Konkrétne posúdenie sa zaoberá tromi vecami. Jednak: je prístup k systémom a údajom z domu viazaný na spravovaný účet s politike prístupu a správe podnikových aktív ako dokumentovaný kus. Druhak: je viacfaktorová autentifikácia povinná na tento prístup — bez MFA zvyčajne nie je "áno, zabezpečené" udržateľná odpoveď, pozrite si viacfaktorová autentifikácia pre podnikové systémy. Tretiak: je šifrovaná dátová vrstva alebo pripojenie (VPN, šifrovanie disku), ak sa citlivé údaje ukladajú miestne. Ak nemáte MFA alebo povinnosť VPN, odpovedzte "nie" alebo "čiastočne" — navrhované "áno" bez podkladovej politiky nie je dôkazom, je to odhad, a ten odhad sa vracia pri audite.

Dôkazom je politický dokument, nie screenshot

Dôkazom, ktorý sa zvyčajne požaduje, je samotná politika prístupu (s pasážou o vonkajšej práci alebo vzdialenom prístupe) a export z poskytovateľa totožnosti, ktorý ukazuje vynútenie MFA. Screenshot jedného notebooku nie je dôkazom procesu. Podľa zákona o kybernetickej bezpečnosti — holandskej transpozície, ktorá vstúpi v platnosť 15. augusta 2026 — sa rovnaký požiadavka vracia prostredníctvom desiatich opatrení článku 21 ods. 2 NIS2; kto má už politiku prístupu a MFA v poriadku, má tak aj výhodu pred touto povinnosťou. Mimochodom, toto je oddelené od otázky, či vaša vlastná organizácia sama patrí pod smernica ako entita podľa NIS2 alebo národnej transpozície — to určuje, či musíte, nie čo tu vyplnite.