NAC a NIS2 – jak kontrola dostępu pomaga spełnić wymagania audytowe i ograniczyć ryzyko incydentów

Dyrektywa NIS2 nakłada na organizacje obowiązki związane m.in. z zarządzaniem ryzykiem, kontrolą dostępu oraz oceną skuteczności stosowanych zabezpieczeń. System NAC może wspierać realizację tych wymagań, kontrolując dostęp użytkowników i urządzeń do sieci, ograniczając skutki incydentów oraz dostarczając danych przydatnych podczas audytów. Sprawdź, jak wygląda to w praktyce.

NIS2 a kontrola dostępu do sieci – które wymagania są istotne z perspektywy NAC?

NIS2 to unijna dyrektywa określająca wymagania w zakresie cyberbezpieczeństwa dla podmiotów działających w sektorach ważnych dla gospodarki i państwa. W Polsce została wdrożona poprzez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa, obowiązującą od 3 kwietnia 2026 r.

Jednym z obszarów istotnych z punktu widzenia tych wymagań jest kontrola dostępu do systemów i sieci. Organizacja powinna wiedzieć, jakie urządzenia łączą się z jej infrastrukturą, kto z nich korzysta oraz do jakich zasobów mają dostęp.

Przepisy nie wskazują konkretnych produktów ani technologii, które organizacja musi wdrożyć. Wymagają natomiast stosowania środków bezpieczeństwa adekwatnych do ryzyka oraz zagrożeń występujących w danej organizacji. W wielu z tych obszarów system NAC może wspierać realizację przyjętych zasad, m.in. poprzez:

• kontrolę dostępu,
• zarządzanie aktywami,
• uwierzytelnianie i zarządzanie tożsamością,
• rejestrowanie prób połączeń, odmów dostępu i zmian statusu urządzeń,
• ocenę zabezpieczeń.

Samo w drożenie systemu NAC nie oznacza jednak zgodności z przepisami. Kluczowe jest to, jak został skonfigurowany, czy reguły dostępu odpowiadają politykom bezpieczeństwa organizacji oraz w jaki sposób gromadzone dane są wykorzystywane do zarządzania ryzykiem, monitorowania zdarzeń i oceny skuteczności zabezpieczeń.

Przeczytaj także: Network Access Control (NAC) w praktyce: bezpieczna sieć korporacyjna z Cisco ISE

Jak NAC pomaga egzekwować polityki dostępu w praktyce?

NAC działa na styku użytkownika, urządzenia i sieci. Jego zadaniem jest sprawdzenie, kto próbuje się połączyć, z jakiego sprzętu i jaki zakres dostępu powinien otrzymać. Zamiast przyznawać wszystkim urządzeniom podobny poziom dostępu, system podejmuje decyzję na podstawie wcześniej zdefiniowanych reguł bezpieczeństwa.

W praktyce proces może wyglądać następująco:

• Identyfikacja użytkownika i urządzenia
  NAC rozpoznaje użytkownika lub urządzenie próbujące połączyć się z siecią. Może w tym celu wykorzystywać m.in. dane logowania, certyfikaty, informacje z katalogu użytkowników czy dane o typie urządzenia. Dzięki temu system może odróżnić np. firmowy laptop od prywatnego telefonu, drukarki, kamery IP czy komputera używanego przez serwisanta. Informacje te ułatwiają również prowadzenie inwentaryzacji zasobów, która jest jednym z elementów zarządzania bezpieczeństwem wymaganych przez NIS2 i KSC.
• Sprawdzenie zgodności z polityką bezpieczeństwa
  W zależności od zastosowanego rozwiązania NAC może ocenić stan urządzenia, np. wersję systemu operacyjnego, obecność wymaganego oprogramowania zabezpieczającego czy zgodność z przyjętymi zasadami. Urządzenie niespełniające wymagań nie musi być od razu całkowicie odcinane od sieci – może otrzymać ograniczony dostęp albo trafić do wydzielonego segmentu.
• Przypisanie odpowiednich uprawnień                                                                            
  Po identyfikacji NAC określa, do jakich zasobów użytkownik lub urządzenie może uzyskać dostęp. Pracownik księgowości może mieć dostęp do systemów finansowych, gość wyłącznie do Internetu, a urządzenie IoT tylko do serwera potrzebnego do jego działania. Takie podejście wspiera zasadę minimalnych uprawnień.
• Automatyzacja w  podłączaniu użytkowników do odpowiednich segmentów sieci.
  NAC może przypisywać użytkowników i urządzenia do odpowiednich segmentów sieci w sposób automatyczny i dynamiczny.

Dzięki temu zasady zapisane w politykach bezpieczeństwa można przełożyć na konkretne reguły egzekwowane w sieci. Organizacja określa kto może uzyskać dostęp, z jakiego urządzenia, na jakich warunkach i do jakich zasobów, a system weryfikuje te warunki przy każdej próbie połączenia.

NAC a audyt NIS2 – jakie dowody może dostarczyć organizacja?

Wymagania NIS2 nie sprowadzają się do przygotowania polityk i procedur. Organizacja powinna również być w stanie wykazać, że wdrożone zabezpieczenia rzeczywiście działają i są stosowane w praktyce.

W Polsce kwestie audytów reguluje ustawa o KSC. Dla części podmiotów przewiduje ona obowiązkowy audyt bezpieczeństwa systemu informacyjnego co najmniej raz na 3 lata. W określonych sytuacjach, np. po poważnym incydencie lub naruszeniu przepisów, organ właściwy ds. cyberbezpieczeństwa może również nakazać przeprowadzenie zewnętrznego audytu.

W przypadku kontroli dostępu istotne są dane pokazujące, jakie urządzenia korzystają z sieci, kto uzyskuje dostęp, na podstawie jakich zasad oraz jak system reaguje na ich naruszenie. Właśnie takich informacji może dostarczać NAC.

System może dostarczać m.in.:

• logi dostępu do sieci – informacje o użytkownikach i urządzeniach, które próbowały się połączyć, wraz z wynikiem uwierzytelnienia,
• historię podłączonych urządzeń – dane pozwalające ustalić, jaki sprzęt pojawiał się w sieci, kiedy był aktywny i do jakiego segmentu został przypisany,
• informacje o odmowach dostępu – np. próbach połączenia urządzeń nieznanych, nieuwierzytelnionych albo niespełniających ustalonych wymagań,
• dane o zastosowanych regułach dostępu – informacje wskazujące, dlaczego użytkownik lub urządzenie otrzymało określony zakres uprawnień,
• historię zmian polityk – w rozwiązaniach oferujących taką funkcję można ustalić, kiedy zmieniono regułę dostępu i jakie ustawienia obowiązywały w danym okresie,
• informacje o reakcjach systemu – np. zablokowaniu urządzenia, ograniczeniu jego dostępu albo przeniesieniu go do sieci kwarantannowej.

Dane te pomagają również ocenić skuteczność zabezpieczeń. Jeśli organizacja stosuje np. regułę blokującą określoną kategorię urządzeń, na podstawie logów może sprawdzić, ile takich prób wystąpiło, czy mechanizm zadziałał prawidłowo oraz czy powtarzające się naruszenia wskazują na potrzebę zmiany konfiguracji lub procedur.

NAC może więc pełnić dwie istotne funkcje: egzekwować zasady dostępu do sieci oraz dostarczać informacji potwierdzających, w jaki sposób były one stosowane. Takie dane mogą być jednym z elementów dokumentacji wykorzystywanej podczas audytu, kontroli wewnętrznej lub analizy incydentu.

Jak NAC ogranicza ryzyko incydentów i rozprzestrzeniania się ataku?

Z perspektywy NIS2 ważne jest nie tylko zapobieganie incydentom, ale również ograniczanie ich skutków. Właśnie tutaj znaczenie ma odpowiednio zaprojektowana kontrola dostępu do sieci – jeśli jedno urządzenie zostanie przejęte, nie powinno automatycznie otwierać drogi do kolejnych systemów i segmentów infrastruktury.

NAC może ograniczyć taki scenariusz, ponieważ dostęp urządzenia jest powiązany z jego rolą i nadanymi uprawnieniami. Przejęty laptop pracownika biurowego nie musi mieć możliwości komunikacji z serwerami administracyjnymi, środowiskiem produkcyjnym czy urządzeniami IoT. Nawet jeśli atakujący uzyska dostęp do jednego endpointu, zakres jego dalszego działania może być znacznie mniejszy.

Znaczenie ma także reakcja na wykryte zagrożenie. Jeżeli system EDR lub inne narzędzie bezpieczeństwa oznaczy urządzenie jako podejrzane, NAC może – przy odpowiedniej integracji – ograniczyć jego dostęp albo przenieść je do wydzielonego segmentu. To pozwala odseparować zagrożony endpoint od pozostałej infrastruktury i ograniczyć możliwość dalszego rozprzestrzeniania się ataku.

Przeczytaj także: BYOD w firmie – jak dopuścić prywatne urządzenia do sieci i nie stracić kontroli nad bezpieczeństwem?

Jak przygotować NAC pod wymagania NIS2 i potrzeby audytowe?

Aby NAC skutecznie wspierał realizację wymagań NIS2 i KSC, jego konfiguracja powinna odpowiadać rzeczywistej strukturze infrastruktury, rolom użytkowników i zasadom bezpieczeństwa obowiązującym w organizacji.

Warto zwrócić uwagę na kilka obszarów:

• Inwentaryzacja urządzeń i użytkowników
  Organizacja powinna wiedzieć, jakie urządzenia mogą pojawiać się w sieci, kto z nich korzysta i do jakich zasobów powinny mieć dostęp. Dotyczy to również urządzeń IoT, BYOD, sprzętu serwisowego i należącego do podwykonawców.
• Zdefiniowanie polityk dostępu
  Reguły powinny odpowiadać rolom użytkowników i typom urządzeń. Warto uwzględnić również przypadki, w których urządzenie nie spełnia wymagań bezpieczeństwa.
• Integracja z innymi systemami bezpieczeństwa
  Połączenie NAC z IAM, EDR czy SIEM pozwala wykorzystywać informacje z różnych źródeł. Przykładowo wykrycie zagrożenia przez EDR może skutkować ograniczeniem komunikacji urządzenia w sieci, a dane z NAC mogą trafiać do SIEM i wspierać analizę zdarzeń.
• Konfiguracja logowania i retencji danych
  Trzeba określić, jakie zdarzenia mają być rejestrowane, jak długo dane będą przechowywane i kto może z nich korzystać. Z punktu widzenia audytu istotne są m.in. informacje o próbach połączeń, odmowach dostępu, zmianach reguł i reakcjach systemu.
• Regularny przegląd polityk i uprawnień
  Reguły NAC powinny być okresowo weryfikowane, ponieważ zmieniają się role pracowników, infrastruktura, wykorzystywane urządzenia i zagrożenia.

Ważne jest również testowanie, czy przyjęte zasady rzeczywiście działają. Można np. sprawdzić, czy nieznane urządzenie zostanie poprawnie zablokowane, czy konto serwisowe otrzyma wyłącznie niezbędny zakres dostępu oraz czy podejrzany endpoint zostanie prawidłowo odizolowany od pozostałej części sieci.

NAC sam w sobie nie zapewnia zgodności z NIS2, może jednak wspierać kilka ważnych obszarów – ograniczanie ryzyka, kontrolę dostępu do sieci, monitorowanie zdarzeń oraz dokumentowanie działania zabezpieczeń. Największe znaczenie ma więc nie samo posiadanie systemu, lecz jego powiązanie z politykami bezpieczeństwa, innymi narzędziami ochrony i procesami obowiązującymi w organizacji.