spørgeskema vil vide, hvordan vi regulerer adgang til systemer, hvad svarer jeg

Adgangskontrol handler om autorisering, verifikation og logning

Dette spørgsmål falder under adgangskontrolpolitik, og de fleste spørgeskemaer opdeler det i tre dele: hvordan gives og tilbagekaldes adgang (autorisering), hvordan verificeres brugerens identitet (autentificering), og registreres det, hvem der havde adgang til hvilket system og hvornår (logning). Et fuldstændigt svar nævner alle tre. For autorisering er det sædvanlige svar, at adgang gives på grundlag af funktion eller rolle, at rettigheder gennemses ved funktionsskifte eller afskedigelse, og at der foretages en periodisk kontrol af åbne konti. Hvis der ikke er en fast proces, men adgang dog gives manuelt og begrænset, er et realistisk svar "delvis" med en kort forklaring, ikke "ja".

For autentificering spørges der ofte separat om om multifaktor-autentificering bruges til adgang til virksomhedssystemer — det er et selvstændigt svar, selv hvis adgangskontrollen i øvrigt er i orden. For logning er bevisstykket normalt en eksport fra identity- og access management-systemet eller et skærmbillede af rollestrukturen; et politikdokument uden underliggende system er sjældent overbevisende. Hvis dette bevis mangler, er "nej, endnu ikke formaliseret" et holdbart svar — risikoen ligger i "ja" uden dokumentation bagved.

Kan henføres til artikel 21 stk. 2 og Annex A

Adgangskontrol nævnes som en separat foranstaltning i artikel 21 stk. 2 i NIS2-direktivet, ved siden af det bredere krav om, at adgangspolitikken, herunder styringen af virksomhedsmidler, er fastsat. I ISO/IEC 27001 genfindes det samme krav i Annex A under kontrolforanstaltninger for adgangskontrol; den, der allerede er certificeret for det område, kan fremlægge det certifikat som bevisstykke i stedet for at indsamle separate dokumenter.