popis pitanja želi znati kako reguliramo pristup sustavima, što odgovorim

Kontrola pristupa se temelji na autorizaciji, verifikaciji i evidenciji

Ovo pitanje spada pod politiku kontrole pristupa, a većina upitnika ga dijeli na tri dijela: kako se pristup dodjeljuje i povlači (autorizacija), kako se provjerava identitet korisnika (autentifikacija) i prati se li tko je kada pristupio kojem sustavu (evidencija). Potpun odgovor sadrži sva tri elementa. Za autorizaciju je uobičajeni odgovor da se pristup dodjeljuje na osnovi funkcije ili uloge, da se prava pregledavaju pri promjeni funkcije ili prestanku radnog odnosa, te da postoji povremena kontrola aktivnih računa. Ako nema utvrđenog postupka, ali se pristup dodjeljuje ručno i ograničeno, realističan je odgovor "dijelomično" s kratkim objašnjenjem, a ne "da".

Za autentifikaciju se često posebno pita je li višestruka autentifikacija korištena za pristup korporativnim sustavima — to je samostalan odgovor, čak i ako je ostala politika kontrole pristupa u redu. Za evidenciju je dokaz obično izvoz iz sustava upravljanja identitetom i pristupom ili snimak strukture uloga; dokument politike bez podljunog sustava rijetko je uvjerljiv. Ako taj dokaz nedostaje, "ne, još nije formalizirano" je održiv odgovor — rizik je u "da" bez dokumenta iza toga.

Utemeljen na članku 21 stavak 2 i Prilogu A

Kontrola pristupa je kao posebna mjera navedena u članku 21 stavak 2 Direktive NIS2, pored šire potrebe da bude politika pristupa uključujući upravljanje poslovnim sredstvima utvrđena. U normi ISO/IEC 27001 ista je potreba sadržana u Prilogu A, među mjerama kontrole pristupa; tko je za taj predmet već certificiran, može taj certifikat predložiti kao dokaz umjesto prikupljanja zasebnih dokumenata.