chestionarul vrea să știe cum reglementăm accesul la sisteme, ce răspund

Controlul accesului se referă la autorizare, verificare și înregistrare

Această întrebare se încadrează în politica de control al accesului, iar majoritatea chestionarelor o împart în trei părți: cum se acordă și se retrage accesul (autorizare), cum se verifică identitatea utilizatorului (autentificare) și se ține o evidență a cine a accesat care sistem și când (înregistrare). Un răspuns complet menționează toate trei. Pentru autorizare, răspunsul obișnuit este că accesul se acordă pe baza funcției sau rolului, că drepturile sunt revizuite la schimbarea funcției sau la încetarea raportului de muncă, și că există o verificare periodică a conturilor active. Dacă nu există un proces stabil, dar accesul este totuși acordat manual și restricționat, un răspuns realist este "parțial" cu o scurtă explicație, nu "da".

Pentru autentificare se pune deseori separat întrebarea dacă se utilizează autentificarea cu mai mulți factori pentru accesul la sistemele corporative — aceasta este un răspuns în sine, chiar dacă politica de control al accesului este în rest în ordine. Pentru înregistrare, dovada de obicei este o export din sistemul de gestionare a identității și accesului, sau o captură de ecran a structurii rolurilor; un document de politică fără sistem suport rar convinge. Dacă lipsește acea dovadă, atunci "nu, nu încă formalizat" este un răspuns acceptabil — riscul se află în "da" fără o justificare în spate.

Reductibil la articolul 21 alineatul 2 și Anexa A

Controlul accesului este menționat ca măsură separată în articolul 21 alineatul 2 al Directivei NIS2, alături de cerința mai largă ca politica de control al accesului inclusiv gestionarea activelor corporative să fie documentată. În ISO/IEC 27001 aceeași cerință apare din nou în Anexa A, sub măsurile de control al accesului; cine este deja certificat pentru acel subiect poate prezenta acel certificat ca dovadă în loc să strângă documente separate.