questionário quer saber como regulamos o acesso aos sistemas, qual é a minha resposta

O controle de acesso envolve autorização, verificação e registro

Esta pergunta se enquadra na política de controle de acesso, e a maioria dos questionários a divide em três partes: como o acesso é concedido e revogado (autorização), como a identidade do usuário é verificada (autenticação) e se é registrado quem acessou qual sistema e quando (registro). Uma resposta completa menciona todos os três. Para autorização, a resposta comum é que o acesso é concedido com base em função ou papel, que os direitos são revistos quando há mudança de função ou saída da empresa, e que há uma verificação periódica de contas ativas. Se não há um processo estabelecido mas o acesso é concedido manualmente e de forma limitada, uma resposta realista é "parcialmente" com uma breve explicação, não "sim".

Para autenticação, geralmente é perguntado separadamente se autenticação multifator é utilizada para acesso aos sistemas da empresa — essa é uma resposta independente, mesmo que a política de acesso esteja em ordem. Para registro, a evidência geralmente é uma exportação do sistema de gerenciamento de identidade e acesso, ou uma captura de tela da estrutura de papéis; um documento de política sem um sistema subjacente raramente convence. Se essa evidência falta, então "não, ainda não formalizado" é uma resposta sustentável — o risco está em "sim" sem documentação de apoio.

Rastreável ao artigo 21º parágrafo 2º e Anexo A

O controle de acesso é mencionado como medida separada no artigo 21º parágrafo 2º da Diretiva NIS2, ao lado da exigência mais ampla de que a política de acesso incluindo o gerenciamento de ativos da empresa seja documentada. Na ISO/IEC 27001, o mesmo requisito aparece no Anexo A, sob as medidas de controle de acesso; quem já é certificado nesse assunto pode apresentar esse certificado como evidência em vez de reunir documentos separados.