Zoznam otázok chce vedieť, ako regulujeme prístup k systémom, ako si mám odpovedať

Kontrola prístupu sa točí okolo autorizácie, overenia a zaznamenávania

Táto otázka spadá pod politiku kontroly prístupu a väčšina zoznamov otázok ju rozdeľuje na tri časti: ako sa udeľuje a odvoláva prístup (autorizácia), ako sa overuje identita používateľa (autentifikácia) a či sa zaznamenáva, kto kedy pristúpil ku ktorému systému (zaznamenávanie). Úplná odpoveď obsahuje všetky tri prvky. Pri autorizácii je bežnou odpoveďou, že prístup sa udeľuje na základe funkcie alebo roly, že sa práva prehodnocujú pri zmene funkcie alebo ukončení pracovného pomeru a že existuje periodická kontrola aktívnych účtov. Ak neexistuje pevný proces, ale prístup sa stále udeľuje ručne a obmedzeným spôsobom, realistickou odpoveďou je "čiastočne" s krátkou poznámkou, nie "áno".

Pri autentifikácii sa často pýtajú osobitne, či viacfaktorová autentifikácia sa používa na prístup do podnikových systémov — to je samostatná odpoveď, aj keď je zvyšok politiky kontroly prístupu v poriadku. Pri zaznamenávaní je podkladovým dokladom zvyčajne export zo systému riadenia identity a prístupu alebo snímka obrazovky štruktúry rolí; politický dokument bez podkladového systému zriedka presvedčí. Ak chýba tento dôkaz, odpoveď "nie, ešte nie je formalizované" je prijateľná — riziko spočíva v odpovedi "áno" bez podkladového dokladu.

Prislúcha článku 21 odsek 2 a prílohe A

Kontrola prístupu je uvedená ako samostatné opatrenie v článku 21 odsek 2 smernice NIS2, popri širšej požiadavke, že politika kontroly prístupu vrátane správy firemného majetku je zdokumentovaná. V norme ISO/IEC 27001 sa rovnaká požiadavka objavuje v prílohe A medzi kontrolnými opatreniami na kontrolu prístupu; ten, kto je už certifikovaný v tejto oblasti, môže tento certifikát predložiť ako podklad namiesto zbierania jednotlivých dokumentov.