Списъкът иска да знае как регулираме достъпа до системите, какво отговарям

Управлението на достъпа се основава на оторизация, верификация и регистриране

Този въпрос попада под политиката за контрол на достъпа и повечето въпросници го разделят на три части: как се предоставя и отменя достъпът (оторизация), как се проверява самоличността на потребителя (удостоверяване), и се запазва ли кой, кога и при кой системи е имал достъп (регистриране). Пълният отговор трябва да отговори и на трите части. За оторизацията обичайният отговор е, че достъпът се предоставя въз основа на функция или роля, че правата се преразглеждат при промяна на функцията или при прекратяване на трудовия договор, и че има периодична проверка на активните сметки. Ако няма установен процес, но достъпът се предоставя ръчно и ограничено, реалистичен отговор е "частично" с кратко обяснение, а не "да".

За удостоверяването често се задава отделно вопросът дали се използва многофакторно удостоверяване за достъп до корпоративни системи — това е самостоятелен отговор, дори и ако останалата част от политиката за достъп е в ред. За регистрирането доказателството обикновено е експорт от системата за управление на самоличност и достъп, или екранна снимка на структурата на ролите; документ за политика без основна система редко убеждава. Ако липсва такова доказателство, "не, още не е формализирано" е приемлив отговор — рискът е в "да" без приложен документ.

Проследимо до член 21, параграф 2 и Приложение A

Управлението на достъпа е посочено като отделна мярка в член 21, параграф 2 на Директива NIS2, наред с по-широкото изискване, че политиката за достъп, включително управлението на корпоративни ресурси е документирана. В ISO/IEC 27001 същото изискване се появява отново в Приложение A, под управленските мерки за контрол на достъпа; ако вече имате сертификация по този предмет, можете да представите сертификата като доказателство вместо да събирате отделни документи.