Kako izpolnim vprašanje o varnosti pri delu od doma

Delo od doma spada pod politiko dostopa in MFA, ne pod ločeno rubriko

Vprašanje o delu od doma običajno ni samostojne teme, ampak izvedba dveh od desetih ukrepov iz člena 21(2) Direktive NIS2: politika dostopa (del i) in uporaba večfaktorske avtentikacije ali primerljivih varnih povezav (del j). Zato ga ne izpolnite samostojno, ampak konsistentno s tem, kar ste že odgovorili pri politiko dostopa in upravljanje sredstev podjetja in pri vprašanju o večfaktorski avtentikaciji. Če odgovor tam ne ustreza temu, kar pravite tukaj, je to prvo, kar opazi ocenjevalec.

Konkretno želi odjemalec običajno vedeti: ali se zaposleni prijavijo prek VPN ali zero-trust-povezave, je MFA obvezna na tej povezavi, obstaja politika naprav za zasebne in službene prenosnike, in ali obstaja osnovna pravila o javnem Wi-Fiju. Če tega nimate kot ločen dokument politike, ampak kot razdelek v širšem pravilniku o IT, je to dovolj dokazno gradivo — navedite del, ne celotnega dokumenta. Če manjka ena od štirih točk, ne odgovorite samodejno z »ne«: navedite, kaj je res (na primer MFA je, politika naprav ni) in pustite odjemalca, da sam presodi nadaljevalno vprašanje. Če nimate niti enega niti drugega, je »ne, še ni formalizirano« dejansko bolj natančno kot delni »ja«, ki ga ne morete utemeljiti.

Od kod to prihaja: člen 21(2), deli i in j

Člen 21(2) Direktive NIS2 omenja pod i »politiko in postopke glede uporabe kriptografije« — ne, to je del h; del i se nanaša na varnost osebja, politiko dostopa in upravljanje sredstev, del j pa posebej na uporabo rešitev za večfaktorsko ali neprekinjeno avtentikacijo, šifrirano komunikacijo in varno nujno komunikacijo znotraj subjekta. Standard ISO/IEC 27001 Prilog A to podrobneje obdeluje pod nadzori za delo od doma in dostop do omrežja. Zakon o kibernetski varnosti bo to ureditev prevzel nespremenjen, takoj ko stopi v veljavo 15. avgusta 2026, zato je odgovor, ki se že zdaj ujema s tema dvema deloma, ostane uporaben tudi po tem datumu.