Politika dodavatelů pro instalační odvětví je přehled subjektů, se kterými sami pracujete — subdodavatelé, samostatně pracující odborníci, dodavatelé software pro vaše plánování nebo systémy správy budov — s odhadem rizika, které každý z nich přináší. Pro instalační společnosti se důraz často nezaměřuje pouze na digitální přístup, ale také na fyzický přístup: kdo dostane klíč, přístupovou kartu nebo přihlášení do systému správy budovy vašeho zákazníka.
To činí instalační odvětví zvláštním případem. Zatímco softwarová společnost se především dívá na to, kdo má přístup ke zdrojovému kódu, instalační společnost se dívá na to, kdo stojí v budově zákazníka, na jaké kabeláži se pracuje a jaké informace o té budově — plány, alarmy, přístupové záznamy — putují k subdodavateli. Politika dodavatelů sjednocuje tyto dva světy, fyzický a digitální, v jednom přehledu.
Proč je to relevantní i bez vlastní povinnosti
Instalační společnosti obvykle nespadají samy pod povinnosti týkající se kybernetické bezpečnosti stanoveného zákona. Ale zadavatel, který je sám povinen — nemocnice, energetická společnost, obec — musí posoudit svůj vlastní řetězec, a to znamená, že se také dívá na to, koho vy zase zapojujete. Subdodavatel s nespravovaným přenosným počítačem, který se přihlašuje do systému správy budovy nemocnice, je pro tohoto zadavatele rizikem, i kdyžje smlouva formálně s vámi. Politika dodavatelů ukazuje, že znáte a spravujete tento řetězec předávání, místo aby vám chyběla odpověď jakmile otázka přijde. Více o tom, co konkrétně může tento zadavatel požadovat, si přečtěte v přehledu témat pro jednotlivé sektory.
Co konkrétně by mělo být v politice
Použitelná politika dodavatelů začíná seznamem: kdo pro vás pracuje, s jakým přístupem a jak je vztah stabilní. Pro instalační společnosti jsou to obvykle tři kategorie. Subdodavatelé a samostatně pracující odborníci, kteří pracují na místě a získávají fyzický přístup do budov, skříní s klíči nebo serveroven. Dodavatelé software pro plánování, fakturaci nebo systémy správy budov, kteří sledují nebo spolupracují na dálku. A dodavatelé materiálů nebo zařízení, kteří někdy potřebují vlastní přihlášení, například pro registraci záruky na dálku.
U každého subjektu je otázkou, co je rozumná kontrola: prohlášení, že hesla nejsou sdílena mezi zaměstnanci, dohoda o tom, co se stane s přístupovými kódy po skončení práce, nebo jednoduše kontaktní osoba, kterou můžete dosáhnout, když se něco pokazí. Ne každý dodavatel požaduje stejnou hloubku — dodavatel šroubů si řekne něco jiného než subdodavatel, který se přihlašuje vaším účtem do systému správy budovy nemocnice.
Subdodavatelé a přístup: bod, kde se to často pokazí
V instalačním průmyslu se pracuje s mnoha různými subdodavateli, někdy na jednu práci, někdy pravidelně. To ztěžuje správu přístupu ve srovnání s firmou s pevným týmem. Praktickým výchozím bodem je jednoduchá otázka pro každého subdodavatele: dostane tato osoba vlastní přístupovou kartu nebo klíč, nebo se pracuje se sdíleným kódem? Je ten přístup odebrán jakmile je práce hotova, nebo zůstane aktivní, dokud se někdo nepamatuje, aby ho zablokoval? A kdo ve vaší vlastní firmě je za jeho odebrání odpovědný?
Tyto otázky vypadají organizačně, ne technicky, ale jsou přesně tím, o čem jde politika dodavatelů: ne o firewallech, ale o tom, kdo se kam dostane a proč. Pro širší opatření týkající se přístupu ve vaší vlastní firmě existuje zvláštní prohloubení; tento článek se konkrétně věnuje subjektům mimo vaši firmu, které sami zapojujete.
Jak začít, aniž byste z toho dělali roční projekt
Zásada pro dodavatele nemusí být na počátku úplná. Praktické pořadí je: začněte stranami, které mají přístup k nejcitlivějším prostředím — Building Management Systems u zákazníků z vitálních sektorů, nebo software, která sleduje vzdáleně. Stanovte si u každé strany, co víte, co ještě musíte zjistit a kdo se o to postará. Poté rozšiřte tento přehled na zbytek dodavatelského řetězce.
To, zda a v jaké míře je to pro vaši společnost relevantní, závisí na sektorech, v nichž vaši zákazníci působí, a na povaze vaší vlastní činnosti. Stručná kontrola ukazuje, kde vaše společnost v řetězci stojía znalostní základna na secria.eu ukazuje podle tématu, která místa v oficiálním textu s tím souvisejí. Jak udržujeme tyto zdroje, je vysvětleno na stránce o našem postupu.
Co tento článek nenahrazuje
Zásada pro dodavatele je organizační dokument, nikoli právní poradenství týkající se vašich konkrétních smluv nebo odpovědnosti vůči subdodavatelům. Na otázky v této věci je právník nebo odvětví představitel řádným kontaktním místem. Často kladené otázky o rozsahu zákona a roli dodavatelů jsou shrnuty na stránce s často kladenými otázkami.
Chcete vědět, kde vaše vlastní společnost stojí, a kterí dodavatelé ve vašem řetězci si zaslouží pozornost jako první? Rychlá kontrola je bezplatná a dá vám během několika minut první představu, aniž byste potřebovali účet.