Списък на въпросите за сигурност за инсталационно предприятие почти винаги се върти около един основен въпрос: кой има достъп до сградата и системите на клиента и как се управлява този достъп. Инсталационните предприятия работят на място, често имат ключове или пропуски и свързват оборудване към системи за управление на сгради, климатични системи или аларми, които понякога се управляват и от разстояние. Точно там се намират въпросите, които многократно се появяват в този сектор.
Списъкът на въпросите обикновено идва не защото инсталационното предприятие само по себе си попада под Директива NIS2, а защото клиентът го прави. Този клиент — болница, енергийна компания, водоснабдителен орган, голям управител на недвижимост — има задължение за поддържане, което му налага да оцени своите доставчици. Инсталационно предприятие, което има достъп до сгради или системи на такава организация, следователно е засегнато чрез веригата на доставки, дори без да попада в целевата група на закона.
Защо този сектор по-често получава списък на въпросите
Инсталационните предприятия често поддържат точно инфраструктурата, която е критична за клиента: отопление, вентилация, електричество, системи за пожарна сигнализация, контрол на достъпа. Тези системи все повече са свързани към мрежа и понякога инсталационното предприятие е единствената страна, която може да влезе от разстояние, за да отстрани неизправностите. За клиента това е причина да иска да знае как е защитен този достъп. Независимо дали конкретно предприятие попада под закона или е засегнато само чрез веригата на доставки, няколко въпроса.
Достъп до сградата: какви въпроси се задават
По физическата част обикновено се касае как се издават и отнемат ключове, пропуски и кодове на тревога. Въпроси, които се повтарят: кой в предприятието е на разположение с достъп до клиентски места, колко бързо се блокира пропуск, когато монтьор напусне работата, и дали съществува преглед на това кой има достъп докъде. Редовно се пита и дали подизпълнители получават достъп самостоятелно или винаги работят под надзор.
Достъп до системи на място: какви въпроси се задават
По цифровата част въпросите се насочват към това как е защитено оборудването и свързаностите на място. Възможни въпроси са дали се влиза с личен профил или със споделена парола, дали се използва многофакторна верификация при дистанционното управление на система за управление на сгради, и как се отнема достъпът, когато проект е завършен или служител напуска. Също собственото оборудване, което се свързва на място — преносим компютър или таблет на монтьора — редовно е предмет на въпроси: управлява ли предприятието то и има ли защитен софтуер.
Подизпълнители и временни служители
Инсталационната работа често се извършва отчасти от подизпълнители или наети персонал. Клиентите поради това понякога задълбочават въпроса как инсталационното предприятие управлява своята собствена верига на доставки: получава ли подизпълнител същите средства за достъп като собствен персонал и има ли представа кой конкретно е работил на място в даден ден. Това е в съответствие с по-широкия принцип, че задължението за поддържане не само разглежда преките доставчици, но и страните, които тези доставчици включват.
Какво можете да направите с тези въпроси
Самите въпроси често не са сложни, но отговорът изисква нещо, което е документирано: преглед на това кой има достъп, как този достъп се отменя и кой е отговорен за това. Компаниите, които все още не са записали това на хартия, забелязват, че повечето време отива в документирането на това, което вече се случва в практиката. Преглед на темите, които се появяват в този вид списъци с въпроси, разработени за всяка ситуация, се намира на страницата с теми по сектор. Който желае да знае как се създава информацията на secria.eu и какви източници се използват, чете това на страницата относно нашия метод.
Важно е да се осъзнае, че списък с въпроси за киберсигурност не е само по себе си законова задължение, а инструмент, чрез който възложителят дава значение на собствената си задължение за грижа. Какво точно може да попита възложителят и какво не, варира в зависимост от ситуацията и договора; за собствената ситуация това е нещо, което трябва да се обсъди с възложителя или, ако е необходимо, с юрист. Често задавани въпроси за този вид списъци с въпроси, включително колко често компания може да очаква да получи такива, са събрани на страницата с често задавани въпроси.
Който желае да вижда какви мерки за контрол на достъпа и физическа сигурност често се задават и как те се отнасят към собствените дейности на компанията, може да го направи безплатно и без акаунт чрез NIS2-проверката и базата знания на secria.eu.