Är åtkomstpolicyn dokumenterad, inklusive hantering av företagstillgångar?

Åtkomstpolicy och tillgångshantering är två separata åtgärder

Denna fråga blandar ofta två saker: åtkomstpolicy (vem får tillgång till vilket system och vilka data) och hantering av företagstillgångar, även kallat tillgångshantering (att veta vilka enheter, system och informationsbärare du har, och vem som är ansvarig för dem). I artikel 21 punkt 2 i NIS2-direktivet är dessa två av tio obligatoriska åtgärder listade bredvid varandra, men de är inte synonymer. En kund som ställer detta som en fråga vill vanligtvis veta om du har båda i ordning, inte om de är samma sak.

För åtkomstpolicy är det relevant om det finns en procedur för att bevilja och återkalla rättigheter, om det är kopplat till funktioner, och om flerfaktorsautentisering används för kritiska system. För tillgångshantering handlar det om en aktuell förteckning över hårdvara, programvara och informationsbärare, inklusive vem som är ägare till varje tillgång och vad som händer vid pensionering eller ersättning av utrustning. Om du inte har en formellt dokumenterad policy men väl en fungerande praxis — till exempel en tät användarlista i ett IAM-system, utan att ett policydokument är kopplat — är "nej" på denna fråga ofta faktiskt mer korrekt än ett förhastrat "ja". Avsaknaden av ett dokument är något annat än avsaknaden av åtgärden själv, och det är just denna skillnad som gör att detta svar ofta förblir "ännu ej bestämt" tills du vet vilket bevisstycke kunden förväntar sig: ett policydokument, en skärmbild av rättighetstrukturen, eller en förklaring.

Där detta står: artikel 21 punkt 2 NIS2

Artikel 21 punkt 2 i Direktiv (EU) 2022/2555 nämner åtkomstprinciper och tillgångshantering som separata komponenter inom de tio obligatoriska åtgärderna, tillsammans med bland annat riskanalys och krypteringspolicy. Direktivet själv föreskriver inget fast format: hur ett företag dokumenterar och påvisar detta är upp till företaget och vad den frågande kunden accepterar som bevis i sin egen portal.