de vill veta hur vi säkrar hemarbete

Hemarbetesäkerhet faller under åtkomstkontroll och MFA

Frågan om hemarbetsplatser är vanligtvis inget separat tema, utan en genomförande av två bredare åtgärder från artikel 21 stycke 2 NIS2: åtkomstpolicy (under e, "policy och procedurer för användning av kryptografi" hör ibland också hemma som fråga om VPN-kryptering) och autentisering (under j, flerfaktorsautentisering och säker kommunikation). Kunder vill konkret veta om en hemarbetsplats är lika väl säkrad som en kontorsplats: är VPN eller zero-trust-åtkomst obligatorisk, är MFA aktiverad för alla externa anslutningar, och finns det policy för vilka enheter (företagsbärbar dator kontra privat mobiltelefon) som får åtkomst.

Om du inte har fastställt detta uttryckligen är det mest rättfärdiga svaret "nej" med en förklaring: till exempel att åtkomst till företagssystem i alla fall går via MFA, oberoende av medarbetarens plats. Det är ofta starkare än ett halvt ifyllt "ja" om en hemarbetspolicy som inte finns. Kontrollera först om flerfaktorsautentisering för företagssystem redan har fastställts — om det svaret är "ja", täcker det redan en stor del av denna fråga, för de flesta kunder frågar om hemarbete just för att kontrollera om åtkomst är väl ordnad oavsett plats. Om både VPN-policy och MFA saknas är svaret "nej" ofta uppenbart, eventuellt med en förklaring av vad som finns (till exempel endast lösenordspolicy).

Där detta blir mer konkret i Bilaga A av ISO 27001

ISO/IEC 27001 Bilaga A utvecklar detta vidare under kontrollåtgärder för "remote working" och åtkomstkontroll, och många enkäter från banker och stora avnämare baseras direkt på denna Bilaga A-struktur — därför ställs frågan ofta separat från NIS2-delen. Huruvida en organisation kan säga något strukturerat om detta beror också på om de själva omfattas av lagen om cybersäkerhet; är det inte fallet räcker ett pragmatiskt svar om den befintliga situationen. Om du är osäker på om organisationen omfattas av detta bör du kontrollera vid eller om organisationen omfattas av NIS2 eller den nationella genomförningen — det avgör hur vikt detta svar bör väga i den övergripande bilden av enkäten.