ako vyplním otázku o VPN a zabezpečenom vzdialenom prístupe

Otázka ide ďalej ako len VPN

VPN je jedna technika, ale otázka samotná sa týka zabezpečenia vzdialeného prístupu ako celku. To spadá pod bod (i) desiatich opatrení v článku 21 ods. 2 NIS2: bezpečnosť personálu, politika prístupu a správa aktív. Zákazník, ktorý sa pýta na "zabezpečený vzdialený prístup", zvyčajne chce vedieť, či existuje VPN alebo porovnateľné šifrované spojenie, alebo či je viacfaktorová autentifikácia povinná, a či je prístup obmedzený na to, čo daná osoba potrebuje pre svoju funkciu. Neodpovedajte preto len "áno, používame VPN" — pridajte, či je to povinné pre všetok externý prístup, a či má nastavený časový limit alebo automatické odhlásenieí.

Ak nemáte VPN, ale máte iný mechanizmus — riešenie zero-trust, bránu s autentifikáciou certifikátom, cloudové prostredie bez lokálnej siete — potom "nie" na doslovenej otázke na VPN nie je chybné, ale je neúplné. V takom prípade popíšte, čo sa skutočne používa, pretože portál vášho zákazníka sa vlastne pýta na účel (šifrovaný, kontrolovaný prístup), nie na konkrétny produkt. Ak chýba viacfaktorová autentifikácia na externom prístupe, ide zvyčajne o samostatnú otázku, ktorá sa v zozname objavuje oddelene, pozri sa na vzdialený prístup k systémom podniku používa viacfaktorová autentifikácia. Ak si nič nezaznamenali o tom, kto sa môže prihlasovať na diaľku a s akými právami, ovplyvňuje to aj širšiu otázku zásad kontroly prístupu, pozri je politika prístupu dokumentovaná vrátane správy firemného majetku.

Kde je to uvedené v smernici a norme

Článok 21 ods. 2 písm. i) Smernice (EÚ) 2022/2555 uvádza bezpečnosť personálu, zásady kontroly prístupu a riadenie firemného majetku ako jedno z desiatich povinných opatrení; prístup na diaľku do toho spada. ISO/IEC 27001 Annex A to ďalej rozpracúva konkrétnym riadiacimi opatreniami na bezpečnosť prístupu a bezpečnosť siete, kde sa použitie VPN zvyčajne zdokumentuje. Zákon o kybernetickej bezpečnosti, slovenská transpozícia NIS2, nadobúda platnosť 15. augusta 2026 a stanovuje rovnaké desať opatrení pre subjekty, ktoré podliehajú tomuto zákonu.