Adgangskontrol betyder, at du kan dokumentere, hvem der må have adgang til hvilke systemer, lokaler eller data, og at denne adgang tilbagekaldes, så snart en person ikke længere har behov for det. For et installationsfirma går det videre end en adgangskodepolitik på kontoret: det omfatter også nøgler til kundelokaler, badges til tekniske rum og fjernadgang til bygningsbeheersystemer, som dine montører vedligeholder.
Årsagen til, at dette emne hele tiden dukker op i sikkerhedsspørgeskemaer, er enkel: en montør, der kan logge ind på en varmeregulering uden adgangskode, eller en tidligere medarbejder, der stadig kan komme ind i en serversal med en nøgle, er præcis den slags risiko, som en arbejdsgiver med et due diligence-ansvar skal være opmærksom på. Den, der besvarer dette spørgsmål med et skuldertræk, mister et kontrakt hurtigere end den, der kan give et kort, ærligt svar.
To slags adgang, ét register
I et installationsfirma løber to verdener parallelt. På den ene side er der adgang til dine egne systemer: administrationen, planlægningssoftware, mailboks. På den anden side er der fysisk og digital adgang hos kunden: nøgler, alarmkoder, VPN-forbindelser til et bygningsbeheersystem, loginkonti på en klimaregulering, der administreres eksternt.
Begge dele falder under samme spørgsmål: hvem må have adgang hertil, og hvorfor. Et løbende register, hvor det for hvert system eller hver nøgleknippe fremgår, hvem der har adgang, siden hvornår, og hvem der har godkendt det, er som regel tilstrækkeligt for de fleste installationsfirmaer til at besvare dette spørgsmål. Det behøver ikke at være et kompliceret system; en oversigt, der passer og som du kan vise frem, vejer tungere end en omfattende politik, som ingen overholder.
Nøgler og badges: den glemte del af adgangskontrol
Mange installationsfirmaer tænker straks på loginoplysninger, når de hører ordet adgangskontrol, og glemmer den fysiske side. Nøgleknipper fra kundelokaler, badges til tekniske rum og koder til alarmsystemer er lige så meget adgang som en adgangskode og fortjener samme disciplin: dokumenter, hvem der har hvilken nøgle, hvornår den blev udleveret, og fastlæg et tidspunkt, hvor den skal tilbagekaldes eller indrives.
Dette bliver ofte først synligt, når det går galt: en montør, der slutter, men stadig har nøgleknipper fra tre kunder liggende i bilen, eller en underleverandør, der efter projektets afslutning stadig kan logge ind på en administratorkonto. En kunde, der stiller dig dette spørgsmål via et sikkerhedsspørgeskema, ønsker først og fremmest at vide, om du systematisk forhindrer sådanne situationer, ikke om der nogensinde er gået noget galt.
Fjernadgang til systemer hos kunden
Installationsfirmaer, der overvåger eller intervenerer i systemer hos kunden fra afstand, f.eks. til fejldiagnose på en klimainstallation eller et energibeheersystem, har ofte behov for egen adgangssti: et VPN, en fjernforbindelse til skrivebord eller en leverandørspecifik platform. Denne adgangssti er præcis den slags forbindelsesled, som en arbejdsgiver med due diligence-ansvar stiller spørgsmål om, fordi en svaghed hos dig direkte kan blive et risiko for dem.
Spørgsmål, der ofte dukker op her, vedrører multifaktorgodkendelse på denne fjernadgang, hvem der administrerer kontiene, og hvad der sker, hvis en bærbar computer med denne adgang bliver stjålet. Det er ikke nødvendigt at have et omfattende teknisk svar på hvert spørgsmål; men det er nødvendigt at vide, hvem i din organisation, der tildeler og tilbagekalde denne slags adgang, og at dette dokumenteres et sted.
Hvor det passer ind i det større billede
Adgangskontrol er en af de foranstaltninger, der falder under omsorgsforpligtelsen, og denne omsorgsforpligtelse påvirker installationsfirmaer normalt ikke, fordi de selv falder under loven, men fordi en ordregivende, der gør det, spørger dem om det. Hvis du endnu ikke ved, om det gælder din egen situation, kan du se det på et par spørgsmålHer er et fuldstændigt overblik for dem, der allerede har modtaget spørgsmålet, og som gerne vil vide, hvordan adgangskontrol forholdes til de ni andre foranstaltninger, udarbejdet per emne.
. Det er ikke op til en leverandør af en platform som secria.eu at afgøre, hvad der er tilstrækkeligt i dit specifikke tilfælde; det forbliver en vurdering, der er hos dig selv eller, hvis der er tvivl, hos en jurist eller den relevante tilsynsmyndighed. Hvad der derimod er at gøre, er at vedligeholde et ærligt og aktuelt overblik over, hvem der må have adgang hvor, så et sikkerhedsspørgeskema ikke længere er en overraskelse, men en formular, som du kan udfylde på et par minutter. Mere om, hvordan sådan et overblik bygges op i praksis, er beskrevet på siden, der viser hvor informationen i dosseret kommer fra.
Ønsker du først at se, om dette emne er relevant for din organisation, og hvad et dossier netop indeholder til det formål? Lav det gratis quick-scan eller gennemse emnerne; begge dele kan tilgås uden konto og giver straks et konkret svar.