küsimustik tahab teada, kuidas me süsteemidele juurdepääsu reguleerime, milline on minu vastus

Juurdepääsu kontroll puudutab autoriseerimist, autentimist ja logimist

See küsimus kuulub juurdepääsu kontrollimise poliitika alla ning enamik küsimustikest jagab selle kolmeks osaks: kuidas antakse juurdepääs ja tühistatakse (autoriseerimine), kuidas kontrollitakse kasutaja identiteeti (autentimine) ning kas jälgitakse, kes, millal millise süsteemiga töötanud on (logimine). Täielik vastus sisaldab kõiki kolme. Autoriseerimise puhul on tavapärane vastus, et juurdepääs antakse funktsiooni või rolli alusel, et õigusi vaadatakse üle funktsioonide muutumisel või töölt lahkumisel ning et perioodiliselt kontrollitakse avatud kontosid. Kui kindlat protsessi pole, kuid juurdepääs antakse käsitsi ja piiratud viisil, on realistlik vastus "osaliselt" lühikese selgitusega, mitte "jah".

Autentimise puhul küsitakse sageli eraldi seda, kas mitmefaktoriline autentimine kasutatakse juurdepääsuks ärisüsteemidele — see on omaette vastus, isegi kui juurdepääsu kontroll on muul viisil korras. Logimise puhul on tõendmaterjal tavaliselt identiteedi- ja juurdepääsuhaldussüsteemist koostatud eksport või kuvatõmmis rollide struktuurist; poliitikakaoteta dokument, millel puudub aluseks olev süsteem, pole harva veenv. Kui see tõendmaterjal puudub, on "ei, pole veel formaliseeritud" jätkusuutlik vastus — risk peitub vastuses "jah" ilma juurde paneva dokumendita.

Jäljendatav artiklile 21 lõige 2 ja lisale A

Juurdepääsu kontroll on nimetatud eraldi meetmena artikli 21 lõike 2 NIS2-direktiivis, kõrvuti laiema nõudega, et juurdepääsu poliitika, sealhulgas ärivara juhtimine on dokumenteeritud. ISO/IEC 27001-s esineb sama nõue lisas A juurdepääsu kontrollimise juhtimismeetmete all; kes selle teema osas juba sertifitseeritud on, saab selle sertifikaadi esitada tõendusmaterjalina, selle asemel et koguda lahus dokumente.