pýtajú sa, kto má všetko prístup k ich údajom

Zásady prístupu, nie seznam mien

Zákazník tu zvyčajne nechce vedieť, ktorá konkrétna osoba sa prihlasuje, ale či existuje systém, ktorý reguluje, kto má kam prístup. To spadá pod správu prístupu: kto má prístup k ktorým systémom a údajom, na základe ktorej roly a ako sa to prideľuje a odvoláva. Odpoveď sa teda skladá z dvoch častí: z politiky (ako sa prístup prideľuje, revízie, odvoláva pri ukončení pracovného pomeru) a z praxe (pracuje sa s rolami založenými na právach, princípom najmenšich oprávnení, periodickou kontrolou, kto má stále prístup).

Ak neexistuje samostatný dokument politiky prístupu, ale prax je v poriadku — napríklad roly v systéme, pevný proces pri nástupe a výstupe zo zamestnania — často to stačí na odpoveď "áno", pokiaľ je to skutočne preukázateľné. Ak chýba oboje, potom je "nie" čestná odpoveď; otázka v tejto veci sa nenavrhuje ako "áno" bez toho, aby bola v ketendossieri zdroj. Súvisiace otázky na rovnakom zozname sa často týkajú viacfaktorová autentifikácia pre podnikové systémy a o politiky analýzy rizík a bezpečnosti informačných systémov — tieto dvoje patria k sebe obsahovo, pretože prístup je zvyčajne jedným z opatrení na riadenie, ktoré vyplývajú z analýzy rizík.

Vzťahuje sa na článok 21 odsek 2 a Prílohu A

Riadenie prístupu je jedným z desiatich opatrení z článku 21 ods. 2 smernice NIS2 (Smernica (EÚ) 2022/2555): explicitne spomína politiku kontroly prístupu a riadenie majetku podniku ako povinný prvok riadenia rizík. V norme ISO/IEC 27001 sa to odráža v opatreniach na riadenie v prílohe A v kategórii kontrola prístupu. Klienti, ktorí sa budú musieť podriaďovať Zákonu o kybernetickej bezpečnosti — slovenskej transpozícii smernice NIS2, ktorá vstúpi do platnosti 15. augusta 2026 — preto túto otázku čoraz viac stanovujú ako štandard svojim dodávateľom, aj keď sami ešte neboli určení ako entita podľa smernice.