Je politika prístupu zdokumentovaná vrátane správy podnikových prostriedkov?

Prístupová politika a správa majetku sú dve samostatné opatrenia

Táto otázka často spája dve veci: prístupovú politiku (kto má prístup k ktorému systému a ktorým údajom) a správu firemného majetku, tiež nazývanú správa majetku (vedieť, ktoré zariadenia, systémy a dátové nosiče máte, a kto je za ne zodpovedný). V článku 21 ods. 2 smernice NIS2 stojí tieto dve z desiatich povinných opatrení vedľa seba, ale nie sú synonymá. Zákazník, ktorý to položí ako jednu otázku, zvyčajne chce vedieť, či máte obe v poriadku, nie či sú to to isté.

Pre prístupovú politiku je relevantné, či existuje postupnosť pre pridelenie a odobratie práv, či je to viazané na funkcie, a či viacfaktorové overovanie sa používa pre kritické systémy. Pri správe majetku ide o aktuálny prehľad hardvéru, softvéru a dátových nosičov vrátane toho, kto je vlastníkom každého majetku a čo sa stane pri ukončení služby alebo výmene zariadení. Ak nemáte formálne dokumentovanú politiku, ale máte fungujúcu prax — napríklad úplný zoznam používateľov v systéme IAM bez pridruženého dokumentu politiky — potom je "nie" na túto otázku často fakticky správnejšia ako predčasné "áno". Chýbajúci dokument je niečo iné ako chýbajúce opatrenie samotné, a práve tento rozdiel je dôvodom, prečo táto odpoveď zvyčajne zostáva na "ešte sa má určiť" dovtedy, kým neviete, ktorý dôkazný dokument zákazník očakáva: dokument politiky, snímka obrazovky štruktúry práv, alebo vyhlásenie.

Kde sa to nachádza: článok 21 ods. 2 NIS2

Článok 21 ods. 2 Smernice (EÚ) 2022/2555 uvádza politiku prístupovej kontroly a správu majetku ako samostatné prvky v rámci desiatich povinných opatrení, vedľa napríklad analýza rizika a a politika šifrovania. Samotná smernica nepredpisuje pevný formát: to, ako podnik to dokumentuje a preukazuje, závisí od podniku a od toho, čo si požadujúci zákazník vo svojom vlastnom portáli ako dôkaz prijme.