Seznam vprašanj vprašuje, ali so domače delovne površine zaščitene, kaj odgovorim

Domače delovne prostore zajema politika dostopa, ne pa ločena tema

Ločen odgovor za "delo od doma" ni potreben: vprašanje v praksi obravnava upravljanje dostopa, avtentifikacijo in varnost končnih naprav. Če je to v redu, je delo od doma zajeto. Odgovorite na vprašanje torej z navedbo istih ukrepov, ki jih že uporabljate za delovne prostore v pisarni: kdo dobi dostop do katerih sistemov, s katero napravo in prek katere povezave.

Konkretno stranka išče tri stvari: VPN ali drugo šifrirano povezavo do poslovnih sistemov, večfaktorsko avtentifikacijo za zunanji dostop in upravljanje prenosnih računalnikov in telefonov, ki jih zaposleni uporabljajo doma (raven popravkov, šifriranje diska, politika gesel). Če ste to dokumentirali, je »da« mogoče utemeljiti. Če eno od treh manjka — na primer, MFA je obvezna samo v pisarni, ne pa pri delu od doma — je odgovor »delno« s pojasnilom, kateri del je res. Preverite to proti politiko dostopa in upravljanje sredstev podjetja in proti stanju večfaktorske avtentifikacije: to sta dve dokumenatirani stvari, na katerih se ta odgovor opira. Če nimate VPN, vendar imate drugo obliko šifriranega dostopa, to posebej navedite — »zaščiteno« brez utemeljitve ne daje uporabnega odgovora.

Vodljivo na člen 21, odstavek 2, ne na lastni standard za delo od doma

NIS2 ne pozna posebnega člena o delu od doma. Deset ukrepov člena 21, odstavka 2 Direktive (EU) 2022/2555 navedenih so politika dostopa in upravljanje poslovnih sredstev (točka i) ter uporaba večfaktorske avtentifikacije ali neprekinjene avtentifikacije (točka j) kot ločeni kategoriji — delo od doma je njihova uporaba, ne pa ločena kategorija. Pri implementaciji ISO 27001 to spada pod ukrepe Priloge A za varnost dostopa in opremo zunaj poslovnih prostorov. Če vas stranka torej sprašuje o »varnih domačih delovnih prostorih«, je odgovor pravzaprav izsek vaše širše politike dostopa, in ravno tam iščete dokaz.