chcú vedieť, ako zabezpečujeme home office

Zabezpečenie práce z domova spadá pod kontrolu prístupu a MFA

Otázka týkajúca sa pracovísk z domova zvyčajne nie je samostatným témou, ale rozpracovaním dvoch širších opatrení z článku 21 ods. 2 NIS2: politika prístupu (pod písm. e, "politika a postupy týkajúce sa používania kryptografie" niekedy patria aj ako otázka na šifrovanie VPN) a autentifikácia (pod písm. j, viacfaktorová autentifikácia a bezpečná komunikácia). Zákazníci chcú konkrétne vedieť, či je pracovisko z domova chránené rovnako dobre ako pracovisko v kancelárii: je povinné VPN alebo prístup s nulovou dôverou, je MFA zapnuté pre všetky vonkajšie pripojenia, a existuje politika týkajúca sa toho, ktoré zariadenia (firemný notebook oproti súkromnému telefónu) môžu získať prístup.

Ak si to explicite nezaznamenala, potom je najčestnejšia odpoveď "nie" s vysvetlením: napríklad že prístup k firemným systémom tak či tak prechádza cez MFA, nezávisle od miesta pobytu zamestnanca. To je často silnejšie ako polovičaté "áno" o politike práce z domova, ktorá neexistuje. Najprv skontroluj, či viacfaktorová autentifikácia pre podnikové systémy už bolo zaznamenané — ak je odpoveď "áno", tým sa už pokrýva veľká časť tejto otázky, pretože väčšina zákazníkov sa pýta na prácu z domova práve aby preverili, či je prístup na mieste nezávislý a dobre usporiadaný. Ak chýba aj VPN politika aj MFA, odpoveď "nie" sa ponúka, eventuálne s vysvetlením toho, čo tam je (napríklad iba politika hesiel).

Kde sa to konkrétnejšie uvádza v Prílohe A normy ISO 27001

ISO/IEC 27001 Príloha A to ďalej rozpracováva pod opatreniami bezpečnosti pre "prácu z domova" a kontrolu prístupu, a mnoho zoznamov otázok od bánk a veľkých zamestnávateľov je priamo založené na tejto Prílohe A — preto sa otázka často objavuje nezávisle na NIS2-desiatke. To, či môže podnik o tomto povedať niečo štruktúrne, závisí aj od toho, či sám podlieha Zákonu o kyberbezpečnosti; ak tomu tak nie je, postačuje pragmatická odpoveď o existujúcej situácii. Ak si nie si istý, či podnik podľa neho podlieha, či podnik podlieha NIS2 alebo národnej transpozícii — to určuje, akú veľmi musí mať táto odpoveď na celkovom obraze zoznamu.