Incident v instalační branži není vždy hacknutý laptop. Stejně často se jedná o montéra, který se přihlásí se špatným účtem do budovního managementu zákazníka, skříňku s klíči, která není správně zavřená, nebo plánovacího pracovníka, který klikne na podvodný odkaz a následně je heslo zákazníka odhaleno.To, co si zaznamenáte, je v každé z těchto situací v podstatě totožné: kdy to bylo objeveno, co přesně se stalo, kdo byl zapojen, jaký přístup byl důležitý, jaké opatření bylo přijato a kdo byl informován.
Tento záznam je něco jiného než hlášení dohlédajícímu orgánu. Interní registr incidentů je průběžný záznam, který vedete sami, bez ohledu na to, zda je incident hlášen-povinný. Pro organizace, které samy spadají pod Směrnici NIS2, patří tento registr do povinnosti péče z článku 21. Pro mnohem větší skupinu instalačních společností, které samy nejsou vázané zákonem, ale jsou hodnoceny jako dodavatelé, je registr často přesně to, na co se dotazuje bezpečnostní Seznam otázek od zadavatele: můžete prokázat, že rozpoznáváte, zaznamenáváte a řešíte incidenty? Ať už sami spadáte pod zákon nebo pouze prostřednictvím dodavatelského řetězce, můžete si ověřit svou pozici pomocí několika otázek, které ukazují vaši pozici v dodavatelském řetězci.
Co patří do registru
Použitelný registr incidentů obsahuje pro každou událost datum a čas zjištění, krátký popis toho, co bylo vidět nebo hlášeno, a jméno osoby, která si toho všimla nebo to hlásila. Dále si zaznamenáte, který systém, která lokalita nebo který zákazník byl ovlivněn, a jaký přístup hrál roli: sdílené heslo, fyzický klíč, přístupová karta, připojení VPN k síti zákazníka. Následně si zaznamenáte, jaké opatření bylo přijato, kdo za něj odpovídal, a zda a kdy byla zákazníkům nebo vaší vlastní organizaci poskytuta informace. Nakonec řádek o uzavření: je incident vyřešen, a byl-li něco změněno na základě tohoto incidentu.
Tento poslední řádek je často vynechán, zatímco dohlédající orgány a zadavatelé se právě na něj dívají. Registr, který pouze sčítá hlášení, říká málo. Registr, ve kterém je vidět, že se opakující se problém vedl ke změně pracovního postupu, ukazuje, že se organizace učí.
Specifická situace montérů na místě
To, co rozlišuje instalační branži od například softwarové společnosti, je to, že přístup je zřídka pouze digitální. Montér, který musí být u zákazníka, má často jak fyzický klíč nebo kartu, tak digitální účet pro systém budovního managementu, alarm nebo klimatizaci. Incident tedy může vzniknout, protože se klíč ztratí, protože účet bývalého zaměstnance nebyl odvolán, nebo protože se laptop s uloženými přihlašovacími údaji ukradl z auta. V registru není tento rozdíl až tak důležitý: vždy jde o stejnou otázku, totiž kdo měl v kterém okamžiku přístup a zda to bylo stále oprávněné.
To přímo ovlivňuje správu přístupu: kdo smí přistupovat ke kterým systémům a klíčům, a je tento přehled aktuální. Registr incidentů bez průběžného přehledu přístupu je obtížné udržovat kompletní, protože musíte u každého incidentu znovu zjišťovat, kdo měl kde právo. Průběžný přehled opatření, stavů a vlastníků, jak ho vede kybernetická složka, činí toto vyšetřování zbytečným.
Ne každý incident vyžaduje stejné jednání
Materialita zde také hraje roli: ztracená hesla poznámka, která byla ihned zaznamenána a změněna, má jinou váhu než neoprávněná návštěva zákaznického systému, která se objeví až po týdnech. Směrnice a národní právní předpisy rozlišují závažné incidenty od menších událostí, a regulátoři přitom zkoumají dopad na poskytování služeb a na zákazníka. Pevnou součástí vaší vlastní评估 je tedy také: zasáhne tento incident pouze provoz vaší vlastní firmy, nebo také systémy nebo údaje zákazníka. V druhém případě je povinnost informovat daného zákazníka velmi blízko, bez ohledu na otázku, zda existuje také zákonná povinnost hlášení.
Které přesně termíny a prahové hodnoty se v jednotlivých situacích a zemích, v nichž působíte, liší. Pro přesné znění a místo naleznete, odkazujeme na oficiální zdroje, a pro vaši vlastní situaci na právníka nebo příslušný regulační orgán. Přehled toho, jak si vedeme zdroje a odkud pocházejí, je uveden na stránka, kde je vysvětlen náš postup.
Co to znamená v praxi
Instalační podnik, který může prokázat, jak zaznamenává a sleduje incidenty, poskytuje objednavateli něco konkrétního při odpovídání na bezpečnostní dotazník, a má také referenční práci pro chvíli, kdy se to stane znovu. Kdo zatím nemá pevnou formu pro tento registr, najde výchozí bod a související vysvětlení u přehledu témat podle situacea často kladené otázky o tom, co v takovém registru patří a nepatří, jsou shromážděny na stránka s odpověďmi na opakující se otázky.
Začněte se zdarma rychlou kontrolou: v pár otázkách zjistíte, zda vaše organizace sama podléhá zákonu, je zasažena prostřednictvím řetězce, nebo ani jedno z toho, s vysvětlením pro každý výsledek.