Контролът на достъпа означава, че определяте кой има достъп до кои системи, с какъв профил, и че този достъп се отнема веднага когато човек смени функция или напусне компанията. В металургическата и производствената промишленост не е само въпрос на лаптопи и електронна поща, но и на машини, PLC-та и производствени линии, които вече са свързани към същата мрежа като администрирането на офиса. Именно това място на контакта между ИТ и производство е това, което въпросници за сигурност често изследват по-детайлно.
Въпросът се появява в почти всеки въпросник, защото контролът на достъпа е една от десетте мерки, които задълженията за дължимо внимание според Директива (EU) 2022/2555 (член 21) очаква от организациите, подлежащи на задължение, и те налагат този запас чрез договор на своите доставчици. Производител на машини или подоставчик, който сам не попадат под Директива (EU) 2022/2555, получава въпроса въпреки това, защото клиент трябва да му може дать отговор.
Разликата между офис и производствен цех
В офиса контролът на достъпа обикновено е организиран: един профил на служител, парола, може би вече втора стъпка при влизане. На производствения цех е често различно. Машини понякога работят години с един споделен профил, техническа парола, която всички знаят, или настройка на доставчика, която никога не е променяна. Това не е нежелание, това е выросло от практиката на поддръжката и разрешаването на неизправности. Надзорните органи и клиентите не гледат на историята, а на текущата ситуация: има ли преглед на това кой има достъп до какво, и е ли този преглед актуален.
Кой има достъп и до какво точно
Полезен преглед отговаря на три въпроса за всяка система: кой има профил, какво може да направи този човек с него, и е ли това все още необходимо. За производствени системи това означава, между другото, разлика между гледане (четене на статус), управление (стартиране или спиране на линия) и програмиране (променяне на настройки или управляващ софтуер). Не всеки, който управлява машина, трябва да може да променя настройките, и не всеки, който някога е получил достъп за проект, все още трябва да има достъп.
Външни монтьори и доставчици на разстояние
Много производствени системи се поддържат от разстояние от доставчика на машината. Това е функционално, но това е и път на достъп, който трябва да бъде документиран: кой от доставчика може да се свърже, чрез която връзка, и дали тази връзка е отворена само по време на поддръжка или постоянно. Клиентите често питат явно за това, защото отворена връзка към трета страна е един от известните начини, по които инцидент при един може да засегне другия. Оценката на тези доставчици е, поради други причини, отделна стъпка в задълженията за дължимо внимание, независима от самия контрол на достъпа.
Пароли и споделени профили
Споделените профили са практични, но те правят невъзможно да се види впоследствие кой е направил какво. Където е възможно, профил на човек е стъпката, която въпросниците приемат като отправна точка. Където това технически не е възможно на по-старите машини, отговорът често е, че има други мерки около него, като ограничен брой хора с физически достъп до контролния панел. Въпросник рядко иска съвършенство, но ясен отговор.
Това, което вие документирате, не само това, което вие организирате
Разликата между "е организирано" и "е доказуемо" е в документирането: актуален списък на профилите и правата, момент, в който този списък е проверен, и име на отговорния за актуализирането му. Именно там живото досие показва своята стойност, защото показва по мярка статус, доказателства и отговорен вместо разхвърлян текст в Word, който никой вече не актуализира.
Къде това се вписва в по-широкия контекст
Контролът на достъпа рядко стои самостоятелно в анкета. Обикновено се комбинира с въпроси относно резервни копия, многофакторна аутентификация и това, което се случва при възникване на инцидент. Организациите, които все още не знаят дали ще трябва да се занимават с NIS2 чрез клиент, обикновено започват със сектора и ролята в веригата на доставки, а не с отделните мерки.
С няколко въпроса, които показват как стои вашата компания получавате първо указание, и в базата данни по предмет ще намерите другите мерки, които се повтарят в същите анкети. Как ние поддържаме източници като директивата и националното законодателство, прочетете на страницата за нашия работен процес. Ако се усъмните кой точно въпрос се отнася до вашата ситуация, проверете също често задаваните въпроси.
Проверката на NIS2 и базата знания са безплатни за консултация, без акаунт. Ако желаете да продължите, например да поддържате преглед на всяка мярка със статус и отговорник, това е включено в досието срещу бизнес абонамент.