lista pytań chce wiedzieć, jak regulujemy dostęp do systemów, jak odpowiadam
Kontrola dostępu polega na autoryzacji, weryfikacji i rejestrowaniu
To pytanie należy do zasad kontroli dostępu, a większość list pytań dzieli je na trzy części: jak przyznawany i odwoływany jest dostęp (autoryzacja), jak weryfikowana jest tożsamość użytkownika (uwierzytelnianie) oraz czy jest rejestrowane, kto, kiedy i do jakiego systemu miał dostęp (rejestrowanie). Kompletna odpowiedź obejmuje wszystkie trzy elementy. W odniesieniu do autoryzacji typową odpowiedzią jest to, że dostęp jest przyznawany na podstawie funkcji lub roli, że uprawnienia są przeglądane w przypadku zmiany funkcji lub rozwiązania stosunku pracy oraz że istnieje okresowa kontrola aktywnych kont. Jeśli nie ma ustalonego procesu, ale dostęp jest przyznawany ręcznie i w ograniczonym zakresie, rzeczywistą odpowiedzią jest "częściowo" z krótkim wyjaśnieniem, a nie "tak".
Do uwierzytelniania często zadawane jest osobno pytanie, czy do dostępu do systemów firmowych używane jest uwierzytelnianie wieloskładnikowe — jest to niezależna odpowiedź, nawet jeśli zasada dostępu jest w inny sposób prawidłowa. W przypadku rejestrowania dowodem jest zwykle eksport z systemu zarządzania tożsamością i dostępem lub zrzut ekranu struktury ról; dokument polityki bez podstawowego systemu rzadko przekonuje. Jeśli tego dowodu brakuje, "nie, jeszcze nie sformalizowane" jest uzasadnioną odpowiedzią — ryzyko polega na "tak" bez poparcia dowodem.
Sięgające do artykułu 21 ust. 2 i Załącznika A
Kontrola dostępu jest wymieniona jako oddzielne środki w artykule 21 ust. 2 dyrektywy NIS2, obok szerszego wymogu, aby polityka dostępu, w tym zarządzanie aktywami firmy była udokumentowana. W ISO/IEC 27001 ten sam wymóg pojawia się w Załączeniu A wśród środków kontrolnych do kontroli dostępu; ci, którzy posiadają już certyfikat w tym zakresie, mogą przedłożyć ten certyfikat jako dowód zamiast gromadzić odrębne dokumenty.
Ta odpowiedź obowiązuje dla każdego typu kwestionariusza, nie tylko dla pytań dotyczących zrównoważonego rozwoju od twojego klienta, udzielone. Pełne wyjaśnienie — ze źródłami, szczegółowościami specyficznymi dla poszczególnych krajów i powiązanymi tematami — znajduje się na portalu koordynacyjnym.
To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.
Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.