Řízení přístupu znamená, že určíte, kdo má přístup k jakým systémům, s jakým účtem, a že se tento přístup odebere jakmile člověk změní funkci nebo odejde. V metalurgii a výrobě nejde jen o laptopy a e-mail, ale také o stroje, PLC a výrobní linky, které jsou nyní připojeny ke stejné síti jako kancelářská automatizace. Právě tento bod dotyku mezi IT a výrobou je místo, kde bezpečnostní dotazníky často dále zkoumají.
Otázka se objevuje v téměř každém dotazníku, protože řízení přístupu je jedním z deseti opatření, která povinnost péče ze směrnice NIS2 (článek 21) očekává od povinných subjektů, a povinné subjekty tento požadavek dále ukládají svým dodavatelům prostřednictvím smlouvy. Výrobce strojů nebo subdodavatel, který sám nespadá pod NIS2, dostane otázku stejně, protože jeho zákazník musí být schopen odpovědět.
Rozdíl mezi kanceláří a výrobní halou
Na kanceláři je řízení přístupu obvykle nastaveno: jeden účet na zaměstnance, heslo, možná již druhý krok při přihlášení. Na výrobní hale je to často jinak. Stroje někdy běží roky se jedním sdíleným účtem, technickým heslem, které zná každý, nebo s nastavením dodavatele, které nikdy nebylo změněno. Není to z neochoty, vyrostlo to z praxe údržby a řešení poruch. Dohledové orgány a odběratelé se na to nedívají z hlediska historie, ale z hlediska současné situace: existuje přehled o tom, kdo má přístup k čemu, a je tento přehled aktuální.
Kdo má přístup, a k čemu přesně
Užitečný přehled odpovídá na tři otázky pro každý systém: kdo má účet, co s ním může dělat a je to stále nezbytné. Pro výrobní systémy to znamená mimo jiné rozlišení mezi sledováním (čtení stavu), obsluhou (spuštění nebo zastavení linky) a programováním (změna nastavení nebo řídicího softwaru). Ne každý, kdo obsluhuje stroj, musí moci měnit nastavení, a ne každý, kdo měl přístup pro projekt, potřebuje ten přístup stále.
Externí technici a dodavatelé na dálku
Mnoho výrobních systémů je na dálku spravováno dodavatelem stroje. To je funkční, ale je to také přístupová cesta, kterou je třeba zdokumentovat: kdo od dodavatele se může přihlásit, přes jaké spojení a zůstane toto spojení otevřeno pouze během údržby nebo trvale. Odběratelé se zde často explicitně ptají, protože otevřené spojení ke třetí straně je jeden ze známějších způsobů, jak se incident u jednoho subjektu může přenést na druhého. Posouzení těchto dodavatelů je ostatně samostatným krokem v povinnosti péče, odděleně od samotného řízení přístupu.
Hesla a sdílené účty
Sdílené účty jsou praktické, ale znemožňují zpětně zjistit, kdo co dělal. Kde je to možné, je účet na jednu osobu krokem, který dotazníky berou jako výchozí bod. Tam, kde to na starších strojích technicky nejde, je odpověď často taková, že kolem toho jsou jiná opatření, například omezený počet lidí s fyzickým přístupem k ovládacímu panelu. Dotazník se zřídka ptá na dokonalost, ale na podložený odpověď.
Co si zdokumentujete, ne jen co si vyřídíte
Rozdíl mezi "je to vyřešeno" a "je to dokazatelné" je v dokumentaci: aktuální seznam účtů a práv, moment, kdy byl tento seznam zkontrolován, a jméno osoby odpovídající za jeho aktualizaci. To je přesně tam, kde si živý soubor dokazuje svou hodnotu, protože pro každé opatření zobrazuje stav, doklad a vlastníka místo volného textu, který nikdo nadále neaktualizuje.
Kam se to hodí v širším kontextu
Řízení přístupu se v dotazníku vyskytuje jen zřídka izolovaně. Obvykle se kombinuje s otázkami o zálohách, vícefaktorovém ověřování a tím, co se stane při výskytu incidentu. Organizace, která si není jista, zda se s NIS2 setkává prostřednictvím svého klienta, obvykle začíná odvětvím a pozicí v dodavatelském řetězci, nikoli jednotlivými opatřeními.
S několika otázkami, které ukazují, kde se vaše společnost nachází získáte první představu a v vědomostní banka podle tématu najdete další opatření, která se v těchto dotaznících opakují. Informace o tom, jak sledujeme zdroje, jako je směrnice a národní právní předpisy, naleznete na stránce o našem postupu. Pokud si nejste jisti, která otázka přesně odpovídá vaší situaci, podívejte se také na často kladené otázky.
Kontrolu NIS2 a znalostní bázi lze bezplatně konzultovat bez účtu. Pokud chcete pokračovat, například vést přehled jednotlivých opatření se stavem a vlastníkem, je to součástí souboru za obchodní předplatné.