Stranka vprašuje, kako uredimo dostop za zunanje dobavitelje ali samostojne delavce

Dostop tretjih oseb spada pod politiko dostopa, ne pod upravljanje verige

To vprašanje spada pod politiko dostopa podjetja, ne pod vprašanja o samih dobaviteljih. Naročnik želi vedeti, kako prepreči, da delavec na črno ali zunanja oseba dobita več pravic, kot je potrebno, in kako umakneš dostop, ko je delo končano. To razliko naredi tudi sam: vprašanje o varnostnih zahtevah, ki jih postavljaš zunanjim osebam, spada pod upravljanje verige, vprašanje o tem, kako se te osebe same prijavijo na tvoje sisteme, pa spada pod dostop. Vprašalniki to pogosto zmeša, toda gre za dve različni ukrepi iz člena 21(2) NIS2 in dve različni poglavji Priloge A v ISO 27001.

Konkretno vprašano: imaš proces za odobritev, spremembo in umik dostopa (vključitev in izključitev iz sistema), delaš s začasnimi ali potečenimi računi za zunanje osebe in velja načelo najmanjših pravic — dostop samo do tega, kar je potrebno, ne do celotnega omrežja. Če imajo zunanje osebe dostop na daljavo, se pogosto tudi sprašuje, ali je večfaktorska avtentifikacija obvezno. Če nimaš posebne politike za zunanje osebe, temveč se zanašaš na splošno upravljanje dostopa, v katerem ni razlike med lastnimi zaposlenimi in tretjimi osebami, je »ne« pošten odgovor — skupno geslo ali stalen aktiven račun po zaključku naloge se ne šteje kot nadzorovan dostop.

Kje je to v Direktivi in normi

Člen 21(2) NIS2 omenja politiko nadzora dostopa in varnost osebja kot dva od desetih obveznih ukrepov; ISO 27001 to razdelava v Prilogi A pod kontrolo dostopa s posebno pozornostью na dostop tretjih oseb in umik tega ob koncu pogodbe.