Контролът на достъпа означава, че можете да докажете кой има право да има достъп до кои системи, помещения или данни, и че този достъп се отменя веднага щом някой вече го не нуждае. За инсталационна фирма това отива по-далеч от политика за пароли в офиса: то включва и ключове от клиентски помещения, бейджи за технически помещения и отдалечен достъп до системи за управление на сградите, които вашите техници поддържат.
Причината този въпрос постоянно се появява в списъците със въпроси за сигурност е проста: техник, който може да влезе в термостат без парола, или бивш служител, който все още има ключ до сървърна стая, е точно вида риск, върху който трябва да внима длъжностното лице с отговорност. Кой отговори на този въпрос със вздигане на рамене, по-бързо ще загуби договор, отколкото някой, който може да даде кратък, честен отговор.
Два типа достъп, един регистър
При инсталационна фирма два свята се преплитат. От една страна има достъп до вашите собствени системи: администрацията, софтуера за планиране, пощенската кутия. От друга страна има физически и цифров достъп при клиента: ключове, кодове на сигнализация, VPN-връзки към система за управление на сградите, регистрационни акаунти на климатизирана система, управлявана отдалечено.
И двете попадат под същия въпрос: кой може да има достъп, и защо. Живо актуален регистър, в който за всяка система или всеки пакет ключове е записано кой има достъп, от кога, и кой го е одобрил, за повечето инсталационни фирми е вече достатъчно, за да отговорят на този въпрос. Не трябва да е усложнена система; преглед, който е правилен и който можете да покажете, има по-голямо тегло от подробна политика, която никой не спазва.
Ключове и бейджи: забравеното поле на контрола на достъпа
Много инсталационни фирми при контрол на достъпа веднага мислят за регистрационни данни и забравят физическата страна. Пакети ключове от клиентски локации, бейджи за технически помещения и кодове на системите за сигнализация са достъп, точно както парола, и заслужават същата строгост: записване кой има кой ключ, кога е издаден, и фиксиран момент, когато се изисква или се отозова.
Това често становища видимо само когато се случи нещо нередно: техник, който напуска работата, но все още има пакет ключове от три клиента в колата, или подизпълнител, който след завършване на проект все още може да влезе в администраторски акаунт. Клиент, който ви задава този въпрос чрез списък със въпроси за сигурност, преди всичко иска да знае дали структурно избягвате такива моменти, а не дали някога е възникнало нещо.
Отдалечен достъп до системи при клиента
Инсталационни фирми, които отдалечено наблюдават или intervenirat в системи при клиента, например за диагностика на повреди на климатизирана инсталация или система за управление на енергия, често нуждаят от свой собствен път на достъп: VPN, remote-desktop връзка или платформа на доставчика. Този път на достъп е точно вида връзка, върху която длъжностното лице с отговорност с зorgavane plight popita, защото слабо място у вас може директно да се прехвърли на риск за тях.
Въпроси, които често се появяват тук, се отнасят до многофакторна проверка на този отдалечен достъп, до това кой управлява акаунтите и какво се случва, ако лаптоп с този достъп бъде откраден. Не е необходимо да имате подробен технически отговор на всеки въпрос; необходимо е да знаете кой в организацията ви отпуска и отозова такъв достъп, и да го запишете някъде.
Където това се вписва в по-голямата картина
Управлението на достъпа е една от мерките, които попадат под задължението за грижа, и това задължение за грижа обикновено не засяга монтажните предприятия, защото те самите попадат под закона, а защото възложител, който попада под него, го иска от тях. Ако още не знаете дали това важи за вашата ситуация, можете да видите това в няколко въпроса. За тези, които вече са получили въпроса и искат да знаят как управлението на достъпа се свързва с другите девет мерки, има пълен преглед разработен по тема.
Не е задача на доставчик на платформа като secria.eu да определя какво е достатъчно във вашия конкретен случай; това остава преценка, която лежи при вас или, при съмнение, при адвокат или компетентния надзорен орган. Какво обаче трябва да се направи: поддържане на честен и актуален преглед на това кой къде може да влезе, така че списък със въпроси за сигурност да не е неочаквано, а формуляр, който можете да попълните в рамките на няколко минути. Повече информация за това как такъв преглед се изгражда на практика е описано на страницата, която показва откъде идва информацията в досието.
Искате ли първо да видите дали тази тема е от значение за вашата организация и какво точно съдържа досието за това? Направете безплатното бързо сканиране или преглеждайте темите; и двете могат да бъдат консултирани без профил и дават директен конкретен отговор.