Řízení přístupu znamená, že můžete prokázat, kdo má přístup k jakým systémům, prostorům nebo datům, a že se tento přístup odvolá, jakmile ho osoba již nepotřebuje. Pro instalační podnik to jde dál než jen politika hesel v kanceláři: týká se také klíčů od prostor zákazníků, průkazů pro technické místnosti a vzdáleného přístupu k systémům správy budov, které vaši technici spravují.
Důvod, proč se toto téma neustále objevuje v bezpečnostních dotaznících, je jednoduchý: technik, který se může přihlásit k otopné regulaci bez hesla, nebo bývalý zaměstnanec, který má stále klíč do serverovny, je přesně ten typ rizika, na který musí zadavatel dbát. Kdo odpoví na tuto otázku výrazem nejistoty, ztratí smlouvu rychleji než ten, kdo dá stručnou a upřímnou odpověď.
Dva typy přístupu, jeden registr
V instalačním podniku se prolínají dva světy. Na jedné straně existuje přístup k vašim vlastním systémům: administrativě, plánovacímu softwaru, poštovní schránce. Na druhé straně existuje fyzický a digitální přístup u zákazníka: klíče, kódy alarmů, VPN připojení k systému správy budov, přihlašovací účty k otopné regulaci, která se spravuje na dálku.
Oboje spadá pod stejnou otázku: kdo má zde přístup a proč. Živý registr, ve kterém je pro každý systém nebo sadu klíčů uvedeno, kdo má přístup, od kdy a kdo to schválil, je pro většinu instalačních podniků dostatečný k zodpovězení této otázky. Nemusí to být složitý systém; přehled, který je správný a který můžete předvést, váží víc než rozsáhlá politika, kterou nikdo nedodržuje.
Klíče a průkazy: zapomenutá část řízení přístupu
Mnoho instalačních podniků si pod řízením přístupu představí hned přihlašovací údaje a zapomene na fyzickou stránku. Sady klíčů z míst zákazníků, průkazy do technických místností a kódy alarmních systémů jsou stejně součástí přístupu jako heslo a zaslouží si stejnou disciplínu: zaznamenat, kdo má který klíč, kdy byl vydán, a stanovit pevný čas, kdy se vrátí nebo odvolá.
To se často stane viditelným, až když se něco pokazí: technik, který odchází ze zaměstnání, ale má v autě stále sady klíčů od tří zákazníků, nebo subdodavatel, který po skončení projektu stále může přihlášený do správcovského účtu. Zákazník, který vám tuto otázku klade prostřednictvím bezpečnostního dotazníku, chce především vědět, zda takové situace systematicky zamezujete, ne zda se někdy něco pokazilo.
Vzdálený přístup k systémům u zákazníka
Instalační podniky, které se na dálku podílejí na systémech u zákazníka nebo zasahují do nich, například při diagnostice poruch klimatizačního zařízení nebo systému řízení energií, často potřebují vlastní cestu přístupu: VPN, připojení ke vzdálené ploše nebo platformu specifickou pro prodejce. Tato cesta přístupu je přesně ten typ propojení, po kterém se ptá zadavatel s povinností péče, protože slabé místo u vás se může přímo přenést na riziko pro ně.
Otázky, které se zde často objevují, se týkají vícefaktorového ověření na tom vzdáleném přístupu, toho, kdo účty spravuje, a toho, co se stane, když se laptop s tímto přístupem ukradne. Není nutné mít na každou otázku obsáhlou technickou odpověď; je nutné vědět, kdo ve vaší organizaci uděluje a odvolává takový přístup, a zapsat to někam.
Kde se to vejde do celkového obrazu
Řízení přístupu je jedním z opatření, která spadají pod povinnost péče, a tato povinnost péče obvykle nezasahuje instalační podniky přímo, protože sami spadají pod zákon, ale proto, že objednávající, který pod něj spadá, si to od nich vyžádá. Kdo ještě neví, zda se to týká jejich konkrétní situace, může si to zjistit v několika otázkách. Pro ty, kdo již otázku obdrželi a chtějí vědět, jak se řízení přístupu vztahuje k ostatním devíti opatřením, je k dispozici úplný přehled rozpracovaný podle tématu.
Není na dodavateli platformy jako secria.eu, aby určil, co je v konkrétním případě dostatečné; to zůstává posouzením, které náleží vám samým nebo, v případě pochybností, právníkovi nebo příslušnému orgánu dohledu. Co se však dá udělat: vést čestný a aktuální přehled o tom, kdo kde má přístup, aby bezpečnostní dotazník nebyl překvapením, ale formulářem, který můžete vyplnit během několika minut. Více o tom, jak se takový přehled v praxi vytváří, najdete na stránce, která ukazuje kde v dossier pocházejí informace.
Chcete nejdřív vidět, zda je toto téma pro vaši organizaci relevantní, a co dossier pro to přesně obsahuje? Proveďte bezplatné rychlé skenování nebo si prohlédněte témata; obě jsou dostupné bez účtu a poskytují okamžitou konkrétní odpověď.