Jautājumā vēlas zināt, kā mēs regulējam piekļuvi sistēmām, ko es atbildu

Piekļuves kontrole rotājas ap autorizāciju, verifikāciju un reģistrēšanu

Šis jautājums ietilpst piekļuves kontroles politikā, un lielākā daļa anketu to sadala trīs daļās: kā tiek piešķirta un anulēta piekļuve (autorizācija), kā tiek pārbaudīta lietotāja identitāte (autentifikācija) un vai tiek reģistrēts, kurš, kad un kuram sistēmai piekļuvis (reģistrēšana). Pilnīga atbilde ietver visas trīs. Autorizācijai parastā atbilde ir tā, ka piekļuve tiek piešķirta, pamatojoties uz amatu vai lomu, tiesības tiek pārskatītas amata maiņas vai izbraukšanas gadījumā, un ir periodiska kontrole pār atklātiem kontiem. Ja nav stingra procesa, bet piekļuve tomēr tiek piešķirta manuāli un ierobežoti, reālistiska atbilde ir "daļēji" ar īsu paskaidrojumu, nevis "jā".

Autentifikācijai bieži vēl atsevišķi jautā, vai daudzfaktoru autentifikācija tiek izmantota piekļuvei uzņēmuma sistēmām — tas ir pašstāvoša atbilde, arī ja pārējā piekļuves politika ir kārtībā. Reģistrēšanai pierādījuma dokuments parasti ir eksports no identitātes un piekļuves pārvaldības sistēmas, vai ekrānuzņēmums no lomu struktūras; politikas dokuments bez bāzes sistēmas reti ir pārliecinošs. Ja trūkst šis pierādījums, tad "nē, vēl nav formalizēts" ir pieņemama atbilde — risks slēpjas "jā" bez dokumenta aizmugurē.

Jāsaista ar Direktīvas NIS2 21. panta 2. punktu un Pielikumu A

Piekļuves kontrole ir minēta kā atsevišķs pasākums Direktīvas NIS2 21. panta 2. punktā, līdzās plašākajam prasībai, ka piekļuves politika, ieskaitant uzņēmuma aktīvu pārvaldību, ir dokumentēta. ISO/IEC 27001 tas pats paredz Pielikumā A, starp piekļuves kontroles vadības pasākumiem; kurš šajā jomā jau ir sertificēts, var iesniegt sertifikātu kā pierādījumu, nevis vākt atsevišķus dokumentus.