BYOD-styrning för ISO 27001, NIS2, DORA och GDPR

Den förlorade iPaden kl. 08:12

Kl. 08:12 tändes Sarahs skärm med ett till synes vanligt supportärende: ”Förlorad iPad, försäljningsdirektör.”

Sarah var informationssäkerhetschef för ett snabbväxande fintechbolag och förstod omedelbart att detta inte var ett vanligt tillgångsärende. Försäljningsdirektören använde sin privata iPad intensivt. Han hade åtkomst till CRM-poster, e-post, känsliga listor över potentiella kunder, samarbetsytor och kontrollpaneler för betalningsflöden från hotellrum, flygplatslounger och kundmiljöer.

Inom några minuter försämrades läget. Enheten var inte registrerad i MDM. Det fanns ingen bekräftelse på att den var krypterad. Det fanns ingen funktion för fjärradering. Regler för villkorad åtkomst fanns, men försäljningsdirektören hade fått ett undantag flera månader tidigare eftersom han ”alltid var på resande fot”. Integritetsteamet kunde inte bekräfta vilka kunddata som hade cachelagrats lokalt. Chefen för regelefterlevnad vidarebefordrade ett nytt meddelande från den externa revisorn: ”Vänligen tillhandahåll underlag som visar att privata mobila enheter som har åtkomst till kunddata är styrda, övervakade, krypterade och kan tas ur tjänst om de komprometteras.”

Den förlorade iPaden var inte den egentliga explosionen. Den var varningsskottet.

Detta är problemet med styrning av mobila enheter och BYOD under 2026. Privata telefoner och surfplattor är inte längre bara bekvämligheter för anställda. De är verksamhetens slutpunkter, identitetsfaktorer, datalager, verktyg för betalningsgodkännande, följeslagare till privilegierad åtkomst och rapporteringskanaler för incidenter. En enda privat enhet kan innehålla en autentiseringsapp för administratörsåtkomst, organisationens e-post med personuppgifter, cachelagrade molnfiler, skärmdumpar av reglerad information, aktiva webbläsarsessioner till SaaS-konsoler och åtkomsttoken till operativa verktyg.

För informationssäkerhetschefer, chefer för regelefterlevnad och styrelser är frågan inte längre: ”Tillåter vi BYOD?” Den verkliga frågan är: ”Kan vi bevisa att varje mobil åtkomstväg är styrd, riskbedömd, tekniskt kontrollerad, övervakad och möjlig att återkalla eller återställa?”

Svaret ska inte kräva separata efterlevnadsprogram för ISO 27001, NIS2, DORA och GDPR. Ett väl avgränsat ledningssystem för informationssäkerhet enligt ISO/IEC 27001:2022 ISO/IEC 27001:2022 kan hantera mobil- och BYOD-risk i policyer, tillgångsägarskap, åtkomstkontroll, enhetsefterlevnad, loggning, incidenthantering, dataskyddskontroller och leverantörsunderlag. Clarysecs metod är att bygga underlaget en gång och sedan återanvända det för NIS2:s cyberhygien, DORA:s IKT-riskhantering och GDPR Article 32 om säkerhet i samband med behandling.

Varför BYOD nu är en efterlevnadsfråga på styrelsenivå

Hybridarbete har gjort mobil åtkomst permanent. Försäljningschefer godkänner avtal från privata iPhones. Ekonomichefer attesterar betalningar från surfplattor. Ingenjörer använder autentiseringsappar på sina egna telefoner. Ledande befattningshavare reser med organisationens e-post på privata enheter eftersom det är praktiskt. Uppdragstagare öppnar ärenden från mobila webbläsare. Supportteam tar emot incidentlarm via mobila meddelandeappar.

Denna flexibilitet skapar ett styrningsgap när åtkomsten växer snabbare än utformningen av policyer och kontroller.

NIS2 gör gapet synligt på ledningsnivå. Article 20 kräver att ledningsorgan godkänner åtgärder för hantering av cybersäkerhetsrisker, övervakar genomförandet och genomgår utbildning. Article 21 kräver lämpliga och proportionerliga tekniska, operativa och organisatoriska åtgärder, inklusive riskanalys, incidenthantering, kontinuitet, leveranskedjesäkerhet, säker anskaffning och underhåll, effektivitetsbedömning, cyberhygien, kryptografi, personalsäkerhet, åtkomstkontroll och tillgångshantering. Styrning av mobila enheter och BYOD berör nästan alla dessa områden.

DORA höjer kraven för finansiella entiteter. Sedan januari 2025 kräver DORA ett dokumenterat ramverk för IKT-riskhantering, ledningsorganets tillsyn, IKT-kontinuitet, hantering av IKT-incidenter, testning av digital operativ resiliens och riskhantering för IKT-tredjeparter. Om anställda får åtkomst till kritiska eller viktiga funktioner via mobila enheter ingår dessa enheter i IKT-riskytan. En leverantör av MDM eller UEM kan också bli relevant för IKT-tredjepartsunderlag om den skyddar åtkomst till reglerad verksamhet.

GDPR tillför ansvarsskyldighetsperspektivet. Article 5 kräver att personuppgifter behandlas säkert och att den personuppgiftsansvarige kan visa efterlevnad. Article 32 kräver lämpliga tekniska och organisatoriska åtgärder, inklusive konfidentialitet, riktighet, tillgänglighet, resiliens och förmåga att återställa åtkomst vid behov. I praktiken ställer integritetsgranskare konkreta frågor: Vem kan få åtkomst till personuppgifter från mobila enheter? Hur begränsas åtkomsten? Vad händer när en telefon förloras? Kan organisationens data raderas utan att den personliga integriteten kränks? Bevaras loggar? Finns underlag för bedömning av personuppgiftsincident?

ISO/IEC 27001:2022 ger verksamhetsmodellen. Avsnitten 4.1 till 4.4 kräver att organisationer fastställer interna och externa förutsättningar, krav från intressenter, regulatoriska skyldigheter, omfattning och beroenden. Avsnitt 5 kräver ledarskap, roller och ansvar. Avsnitt 6 kräver riskbedömning och riskbehandling. Avsnitten 8.2 och 8.3 kräver att organisationen genomför riskbedömningar för informationssäkerhet och inför riskbehandlingsplaner.

Det innebär att BYOD inte kan ligga i ett bortglömt IT-memo. Det hör hemma inom ISMS-omfattningen, där rättsliga skyldigheter, kundförväntningar, operativa beroenden och beslut om riskbehandling hanteras.

ISO 27001-kontrollklustret för styrning av mobila enheter och BYOD

Clarysec inleder normalt mobil styrning med ett kluster av tre kontroller från ISO/IEC 27001:2022 bilaga A, med stöd av implementeringsvägledning i ISO/IEC 27002:2022.

I Zenith Controls: The Cross-Compliance Guide Zenith Controls behandlar Clarysec dessa kontroller som ömsesidigt förstärkande. För användarslutpunkter klassificerar Zenith Controls kontroll A.8.1 som förebyggande, med stöd för konfidentialitet, riktighet och tillgänglighet, mappad till cybersäkerhetskonceptet Protect och de operativa förmågorna tillgångshantering och informationsskydd.

Guiden förklarar också varför kontroller för slutpunkter är direkt kopplade till godtagbar användning, distansarbete, åtkomstbegränsning, säker autentisering, fysiskt skydd, sekretesskyldigheter och utbildning i säkerhetsmedvetenhet.

”Slutpunkter är primära plattformar genom vilka policyer för godtagbar användning tillämpas.”
Källa: Zenith Controls, User endpoint devices, kontroll 8.1 Zenith Controls

För distansarbete mappar Zenith Controls A.6.7 till A.7.9 security of assets off-premises, A.8.1 user endpoint devices, A.5.1 policies for information security, A.6.3 information security awareness, education and training, A.5.14 information transfer, A.8.20 networks security, A.8.22 segregation of networks, A.7.7 clear desk and clear screen, A.5.29 information security during disruption och A.5.30 ICT readiness for business continuity.

Denna mappning speglar hur revisioner faktiskt genomförs. En revisor stannar inte vid frågan: ”Har ni en BYOD-policy?” Revisorn testar om policyn är implementerad, om enheter är registrerade, om åtkomst är beroende av efterlevnad, om loggar finns, om användare är utbildade, om incidenter med förlorade enheter hanteras och om undantag är riskaccepterade.

Policygrunden: att uttrycka styrningsreglerna tydligt

Ett försvarbart BYOD-program börjar med uttryckliga regler. Clarysecs policybibliotek innehåller mönster för både små och medelstora företag och större organisationer, så att organisationer kan skala kraven utan att förlora tydlighet inför revision.

För små och medelstora företag skapar Clarysecs Mobile Device and BYOD Policy-sme Mobile Device and BYOD Policy - SME en enkel styrningsgrind:

”Privata BYOD-enheter ska godkännas av VD före användning.”
Källa: Mobile Device and BYOD Policy-sme, Styrningskrav, avsnitt 5.1.1 Mobile Device and BYOD Policy - SME

Den korta meningen stänger ett vanligt revisionsgap. Den förhindrar tyst åtkomst från privata enheter, skapar en godkännandepunkt och ger verksamhetsägaren eller den verkställande chefen en synlig styrningsroll. Den stöder också ISO 27001-avsnitten 5.1 till 5.3, där högsta ledningen ska visa ledarskap, kommunicera förväntningar och tilldela ansvar.

SME-policyn tydliggör också tillämpningen av baslinjen:

”Följande kontroller ska tillämpas på alla mobila enheter (organisationsägda och BYOD):”
Källa: Mobile Device and BYOD Policy-sme, Styrningskrav, avsnitt 5.2.1 Mobile Device and BYOD Policy - SME

För reglerade eller större organisationer är Clarysecs Mobile device and byod policy Mobile device and byod policy mer föreskrivande:

”Alla mobila enheter (organisationsägda eller privata) som har åtkomst till organisationens resurser ska vara:
5.1.1 Registrerade och anslutna till en godkänd MDM-plattform.
5.1.2 Konfigurerade med tekniska säkerhetskontroller, inklusive krav på kryptering och autentisering.
5.1.3 Övervakade med avseende på efterlevnad av definierade baslinjer för operativsystem (OS) och patchning.”
Källa: Mobile device and byod policy, Styrningskrav, avsnitt 5.1 Mobile device and byod policy

Detta är revisionsklart språk. Revisorn kan testa populationen av mobila enheter, jämföra den med åtkomstloggar, ta stickprov på registreringsposter och verifiera att kryptering, autentisering och patchbaslinjer tillämpas.

BYOD kräver också integritetskänsliga gränser för samtycke och acceptans. Enterprise-policyn anger:

”Bring Your Own Device (BYOD)-åtkomst ska endast beviljas efter formellt godkännande av organisationens BYOD-användaravtal, som omfattar:
5.2.1 Samtycke till övervakning av organisationens containrar eller hanterade applikationer
5.2.2 Bekräftelse av MDM-kontroller, såsom fjärradering eller låsning
5.2.3 Överenskommelse om frivilligt deltagande och rätt att avbryta deltagandet”
Källa: Mobile device and byod policy, Styrningskrav, avsnitt 5.2 Mobile device and byod policy

Denna klausul är central för anpassning till GDPR. Den klargör att övervakning avser organisationens containrar eller hanterade applikationer, dokumenterar den anställdes bekräftelse av låsning eller fjärradering och bevarar rätten att avbryta deltagandet. Den hjälper till att skilja legitim säkerhetsövervakning av organisationens data från överdriven övervakning av privatlivet.

Från policy till kontroller: MDM, containrar, åtkomst och loggar

Policy blir styrning först när den införs och kan styrkas med underlag. Den praktiska baslinjen börjar med registrering.

”Alla mobila enheter ska vara registrerade i en MDM-lösning innan de får åtkomst till organisationens system.”
Källa: Mobile device and byod policy, Krav för genomförande av policyn, avsnitt 6.1.1 Mobile device and byod policy

För enterprise-miljöer bör samma implementeringslager kräva kryptering, PIN-kod, lösenkod eller biometrisk autentisering, låsning vid inaktivitet, stödda OS-versioner, detektering av jailbreak eller root, patchbaslinjer samt radering eller ominstallation från avbildning efter upprepade misslyckade inloggningsförsök.

För BYOD är en bättre design normalt hanterade applikationer eller organisationens containrar i stället för övervakning av hela enheten. Policyn fångar detta:

”Organisationens data ska endast lagras i krypterade, hanterade containrar.”
Källa: Mobile device and byod policy, Krav för genomförande av policyn, avsnitt 6.6.1 Mobile device and byod policy

Detta stöder GDPR:s uppgiftsminimering och Article 32 om säkerhet i samband med behandling, eftersom verksamhetsdata begränsas till hanterade områden och privata områden inte behandlas som organisationens lagringsplatser. Det ger också verksamheten ett praktiskt svar när en privat telefon förloras: återkalla sessioner, radera organisationens data, bevara loggar och bedöma exponeringen utan att radera privata foton, meddelanden eller applikationer.

Villkorad åtkomst kopplar därefter identitet till enhetsstatus. Som lägsta nivå bör känsliga system kräva registrering, MFA, kryptering, stött OS, skärmlås, frånvaro av jailbreak eller root, åtkomst via hanterad applikation och begränsningar för nedladdningar, delning via urklipp eller skärmdumpning när risken kräver det. Detta ger praktisk effekt åt A.8.1 användarslutpunkter, A.8.3 åtkomstbegränsning till information och A.8.5 säker autentisering.

Loggning sluter kretsen. Enterprise-policyn kräver:

”Loggar för mobil åtkomst ska samlas in och bevaras i minst 90 dagar, med integration till den centrala SIEM-plattformen där det är tillämpligt.”
Källa: Mobile device and byod policy, Styrningskrav, avsnitt 5.6 Mobile device and byod policy

För mindre miljöer lägger Clarysecs Logging and Monitoring Policy-sme Logging and Monitoring Policy - SME till ett praktiskt minimum:

”BYOD- och fjärrsystem ska ha lokal loggning aktiverad för autentiseringshändelser och antivirusdetekteringar”
Källa: Logging and Monitoring Policy-sme, Krav för genomförande av policyn, avsnitt 6.3.1 Logging and Monitoring Policy - SME

Ett program för mobil styrning utan loggar är svårt att försvara. En utredning av en förlorad enhet behöver åtkomsthistorik, misslyckade försök, enhetens efterlevnadsstatus, underlag för återkallelse av sessioner och relevant DLP- eller containeraktivitet.

Var mobil styrning hör hemma i 30-stegsplanen

Clarysecs Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint placerar styrning av mobila enheter och BYOD över flera implementeringsfaser. Den behandlar inte BYOD som ett enskilt policydokument.

I fasen Controls in Action, Step 16, People Controls II, behandlar Zenith Blueprint distansarbete och BYOD:

”Användning av privata enheter (BYOD) bör antingen förbjudas eller endast tillåtas under strikta villkor, såsom registrering i en MDM-lösning som stöder datacontainerisering och fjärradering av organisationens data om enheten förloras eller om användaren lämnar organisationen.”
Källa: Zenith Blueprint, Controls in Action phase, Step 16, People Controls II Zenith Blueprint

I Step 19, Technological Controls I, beskriver Zenith Blueprint slutpunkter som startpunkten för digital interaktion:

”Användarslutpunkter, bärbara datorer, smarttelefoner, surfplattor, stationära datorer och även tunna klienter är där digital interaktion börjar. De är dörrarna och fönstren in i era system.”
Källa: Zenith Blueprint, Controls in Action phase, Step 19, Technological Controls I Zenith Blueprint

Step 18, Physical Controls II, täcker säkerhet för tillgångar utanför organisationens lokaler. Det omfattar enheter som lämnas i bilar, surfplattor som används i offentliga miljöer, bärbara datorer som checkas in som bagage och filer som lagras offline. Principen är enkel: även om en enhet förloras eller stjäls ska data förbli oåtkomliga.

Detta lagerbaserade angreppssätt är hur Sarah gick från panik till styrning. Hon köpte inte ett verktyg och förklarade problemet löst. Hon kopplade samman regler för personer, fysiskt beteende och teknisk tillämpning i ett enda verifierbart system.

En veckas sprint för ett BYOD-underlagspaket

Ett praktiskt sätt att stänga gapet är att bygga ett BYOD-underlagspaket. Det är den uppsättning artefakter som en informationssäkerhetschef kan lämna till en revisor, tillsynsmyndighet, kundgranskare eller styrelsekommitté.

För dag 1, identifiera organisationsägda telefoner, privata telefoner som används för MFA, BYOD-surfplattor med åtkomst till kontrollpaneler, uppdragstagares mobila enheter, privilegierade användare med åtkomst till administrativa konsoler och all mobil åtkomst till system som behandlar personuppgifter eller finansiella transaktioner.

För dag 6, testa ett realistiskt scenario: en försäljningsdirektör rapporterar att en privat telefon med hanterad e-post från organisationen har stulits på en flygplats. SME-policyn anger en tydlig rapporteringsförväntan:

”Förlorade, stulna eller komprometterade enheter ska rapporteras till VD inom 1 timme”
Källa: Mobile Device and BYOD Policy-sme, Krav för genomförande av policyn, avsnitt 6.4.1 Mobile Device and BYOD Policy - SME

Övningen bör testa om teamet kan identifiera enheten, återkalla sessioner, fjärradera organisationens data, bevara loggar, bedöma exponering av personuppgifter, avgöra om analys av personuppgiftsincident enligt GDPR behövs och bedöma om rapporteringströsklar enligt NIS2 eller DORA kan ha utlösts.

Korsvis efterlevnad: ett mobilt program, fyra underlagsberättelser

Värdet med ISO 27001-baserad BYOD-styrning är återanvändning. En uppsättning kontroller kan generera underlag för flera skyldigheter om den är väl strukturerad.

Samma logik gäller på kontrollnivå.

För NIS2 är omfattningen avgörande. Leverantörer av digital infrastruktur, molnleverantörer, datacenterleverantörer, innehållsleveransnätverk, DNS-leverantörer, TLD-register, tillhandahållare av betrodda tjänster, leverantörer av allmänt tillgängliga elektroniska kommunikationstjänster, B2B-leverantörer av hanterade tjänster och leverantörer av hanterade säkerhetstjänster kan omfattas av kategorierna väsentliga eller viktiga entiteter beroende på storlek, sektor och nationellt genomförande. Ohanterad mobil åtkomst till operativa system är inte ett mindre IT-undantag i det sammanhanget. Det är en styrningsfråga.

För DORA kan MDM- eller UEM-leverantören bli en del av underlaget för tredjepartsrisk om den stöder åtkomst till kritiska eller viktiga funktioner. DORA-orienterade organisationer bör dokumentera leverantörsgranskning, servicenivåer, datalagringsplatser, incidentstöd, säkerhetsåtgärder, revisionsrätt, exitarrangemang och leverantörens deltagande i testning där det är relevant.

För GDPR är en förlorad privat telefon inte automatiskt en anmälningspliktig personuppgiftsincident. Den blir ett allvarligt problem om organisationens data är åtkomliga, okrypterade, cachelagrade utanför hanterade containrar eller exponerade genom aktiva sessioner. Organisationen måste veta vilka data som var åtkomliga, om kontroller förhindrade obehörig åtkomst och om loggar stöder slutsatsen.

Hur revisorer testar BYOD-styrning

Ett moget program bör vara förberett för olika revisionsstilar.

Revisionschecklistan i Zenith Blueprint för distansarbete är direkt: revisorer kontrollerar om policyn är implementerad, inte bara dokumenterad. Var beredd att presentera den formella policyn, förklara tillämpning såsom VPN-användning, slutpunktskryptering eller MDM, visa BYOD-registrering eller begränsningar, tillhandahålla utbildningsregister och visa att distansarbetare förstår sina skyldigheter.

NIST CSF 2.0 ger en användbar kompletterande modell. Funktionen GOVERN kräver att rättsliga, regulatoriska och avtalsmässiga cybersäkerhetskrav förstås och hanteras, att cybersäkerhetsrisk integreras i organisationens riskhantering, att roller och befogenheter definieras, att policyer fastställs och övervakas samt att prestation utvärderas. För mobil styrning kan en praktisk målprofil säga: alla enheter som har åtkomst till personuppgifter eller kritiska verksamhetssystem är registrerade, krypterade, efterlevande, övervakade och kan tas bort inom en timme från underrättelse om kompromettering.

Vanliga revisionsiakttagelser för BYOD

Iakttagelser om mobil styrning beror sällan på ett enda katastrofalt fel. De beror oftare på små undantag som aldrig stängdes.

Vanliga iakttagelser är:

• BYOD tillåts i praktiken men är inte formellt godkänt
• Autentiseringsappar behandlas som utanför ISMS-omfattningen
• MDM är konfigurerat för organisationsägda enheter men inte för privata enheter med organisationsåtkomst
• Ledande befattningshavare undantas från baslinjer för enhetsefterlevnad
• Villkorad åtkomst kringgås via äldre protokoll eller ohanterade webbläsare
• Privata enheter får åtkomst till e-post utan containerisering
• Mobila loggar bevaras i SaaS-plattformar men granskas eller exporteras inte
• Rutin för förlorad enhet finns, men personalen känner inte till rapporteringstidsfristen
• Det saknas integritetstext som förklarar vad företaget får och inte får övervaka
• Det saknas underlag som visar att mobila undantag är tidsbegränsade och riskaccepterade
• MDM-leverantören ingår inte i IKT-tredjepartsriskhanteringen
• Ingen skrivbordsövning har genomförts för mobil kompromettering
• Ingen mappning finns från BYOD-kontroller till underlag för GDPR Article 32, NIS2 eller DORA

Varje iakttagelse går att åtgärda. Problemet är normalt inte brist på verktyg. Det är brist på ägarskap, underlagsdesign och mappning för korsvis efterlevnad.

Berättelsen på styrelsenivå

Ledningen behöver inte varje detalj i MDM-konfigurationen. Den behöver en tydlig berättelse om ansvarsskyldighet.

En stark BYOD-position på styrelsenivå säger:

1. Vi vet vilka mobila enheter som har åtkomst till organisationens resurser.
2. Vi skiljer på organisationsägda enheter och BYOD-åtkomst.
3. BYOD är frivilligt, godkänt och styrt genom avtal.
4. Organisationens data är krypterade och isolerade.
5. Åtkomst beror på enhetsefterlevnad.
6. Loggar bevaras och granskas.
7. Förlorade eller komprometterade enheter rapporteras snabbt.
8. Organisationens data kan raderas eller åtkomst återkallas.
9. Risker för personuppgifter bedöms enligt GDPR.
10. Undantag är godkända, tidsbegränsade och granskade.

Detta kopplar mobil styrning till riskaptit, operativ resiliens, rättslig ansvarsskyldighet och kundförtroende. Det ger också ledningsorgan det underlag de behöver för att visa tillsyn enligt NIS2 och DORA.

Hur Clarysec hjälper

Clarysecs modell för styrning av mobila enheter och BYOD kombinerar policy, genomförande och mappning för korsvis efterlevnad.

För det första ger policybiblioteket organisationer färdig styrningstext att anpassa. Mobile Device and BYOD Policy-sme är praktisk för mindre företag som behöver tydliga godkännande- och rapporteringsregler. Mobile device and byod policy stöder reglerade miljöer som kräver MDM, kryptering, autentisering, OS-baslinjer, DLP, containrar, loggning och formella BYOD-avtal.

För det andra ger Zenith Blueprint implementeringsvägen. Den visar var mobil styrning hör hemma i den 30 steg långa revisionsfärdplanen: distansarbete, säkerhet för tillgångar utanför organisationens lokaler och kontroller för slutpunkter. Det förhindrar det vanliga misstaget att behandla BYOD som ett enskilt dokument i stället för ett levande kontrollsystem.

För det tredje ger Zenith Controls kompassen för korsvis efterlevnad. Den kopplar ISO/IEC 27001:2022 bilaga A-kontrollerna A.8.1, A.6.7 och A.7.9 till relaterade kontroller, stödjande standarder och revisionsförväntningar. Den mappningen hjälper informationssäkerhetschefer att besvara tillsynsmyndighetens verkliga fråga: visa att er mobila styrning är proportionerlig, implementerad och effektiv.

Nästa steg: bygg ditt försvarbara BYOD-underlagspaket

Om din organisation tillåter mobil åtkomst eller BYOD-åtkomst, vänta inte på att en förlorad iPad ska exponera underlagsgapet.

Börja med en fokuserad bedömning:

• Lista varje mobil åtkomstväg till organisationens data och kritiska system.
• Jämför faktisk åtkomst med Mobile device and byod policy Mobile device and byod policy eller Mobile Device and BYOD Policy-sme Mobile Device and BYOD Policy - SME.
• Skapa en ensidig riskregisterpost för mobil risk kopplad till ISO/IEC 27001:2022 ISO/IEC 27001:2022.
• Använd Zenith Blueprint: An Auditor’s 30-Step Roadmap Zenith Blueprint för att införa kontroller för distansarbete, tillgångar utanför organisationens lokaler och slutpunkter.
• Använd Zenith Controls: The Cross-Compliance Guide Zenith Controls för att mappa underlag till förväntningar enligt NIS2, DORA, GDPR, NIST och COBIT 19.
• Använd Logging and Monitoring Policy-sme Logging and Monitoring Policy - SME för att definiera praktiska loggningsförväntningar för mindre miljöer.
• Genomför en skrivbordsövning för förlorad enhet och bevara underlaget.

Clarysec kan hjälpa dig att omvandla ohanterad mobil åtkomst till ett försvarbart och verifierbart styrningsprogram. Ladda ned policyerna, mappa dina kontroller med Zenith Controls, implementera färdplanen med Zenith Blueprint och boka en Clarysec-bedömning innan din nästa revisor ställer 08:12-frågan.