fragelista vill veta hur vi reglerar åtkomsten till system, vilket svar ger jag

Åtkomststyrning handlar om auktorisering, verifiering och loggning

Denna fråga faller under åtkomstkontrollpolicy, och de flesta frågeformulär delar upp den i tre delar: hur beviljas och återkallas åtkomst (auktorisering), hur verifieras användarens identitet (autentisering), och registreras vem som hade åtkomst till vilket system när (loggning). Ett fullständigt svar nämner alla tre. För auktorisering är det vanliga svaret att åtkomst beviljas baserat på funktion eller roll, att rättigheter granskas vid funktionsbyte eller anställningsupphörande, och att det finns en periodisk kontroll av aktiva konton. Om det inte finns en fast process men åtkomst ändå beviljas manuellt och begränsat, är ett realistiskt svar "delvis" med en kort förklaring, inte "ja".

För autentisering efterfrågas ofta separat huruvida multifaktorautentisering används för åtkomst till företagssystem — det är ett fristående svar, även om åtkomstpolicyn i övrigt är i ordning. För loggning är bevisstycket vanligtvis en export från identity- och accessmanagementsystemet, eller en skärmbild av rollstrukturen; ett policydokument utan underliggande system övertygar sällan. Om det beviset saknas är "nej, ännu inte formaliserat" ett försvarbart svar — risken ligger i "ja" utan underliggande dokumentation.

Hänförligt till artikel 21 punkt 2 och Annex A

Åtkomststyrning nämns som en separat åtgärd i artikel 21 punkt 2 i NIS2-direktivet, vid sidan av det bredare kravet att åtkomstpolicyn inklusive hanteringen av företagstillgångar är fastställd. I ISO/IEC 27001 återkommer samma krav i Annex A, under kontrollåtgärder för åtkomststyrning; den som redan är certifierad för det området kan presentera det certifikatet som bevisstycke i stället för att samla in separata dokument.