Adgangskontrol betyder, at du fastlægger hvem der må have adgang til hvilke systemer med hvilken konto, og at denne adgang bliver tilbagekaldt, så snart nogen skifter funktion eller forlader virksomheden. I metal- og fremstillingsindustrien handler det ikke kun om bærbare computere og e-mail, men også om maskiner, PLC'er og produktionslinjer, der nu er tilsluttet det samme netværk som kontorautomatiseringen. Præcis det grænseflade mellem IT og produktion er, hvor spørgeskemaer om cybersikkerhed ofte stiller spørgsmål.
Spørgsmålet vender tilbage i næsten hvert skema, fordi adgangskontrol er en af de ti foranstaltninger, som NIS2-direktivet (artikel 21) forventer af virksomheder, der er omfattet af pligten, og disse virksomheder stiller derefter kravet videre til deres leverandører via kontrakt. En maskinefabrik eller leverandør, der selv ikke falder ind under NIS2, får derfor også spørgsmålet, fordi en kunde skal kunne få det besvaret.
Forskellen mellem kontor og produktionsgulv
På kontoret er adgangskontrol normalt indrettet: en konto per medarbejder, en adgangskode, måske allerede et andet trin ved login. På produktionsgulvet ser det ofte anderledes ud. Maskiner kører nogle gange i årevis med én delt konto, en teknisk adgangskode, som alle kender, eller en indstilling fra leverandøren, der aldrig er blevet ændret. Det er ikke mangel på vilje, det er vokset ud af praksis med vedligeholdelse og fejlfinding. Tilsynsmyndigheder og aftagere ser ikke på historien, men på den aktuelle situation: er der et overblik over hvem der kan få adgang til hvad, og er det overblik aktuelt.
Hvem har adgang, og til hvad præcist
Et brugbart overblik besvarer tre spørgsmål for hver system: hvem har en konto, hvad må denne person gøre med den, og er det stadig nødvendigt. For produktionssystemer betyder det blandt andet forskel mellem at se (aflæse status), betjene (starte eller stoppe en linje) og programmere (ændre indstillinger eller styringssoftware). Ikke alle, der betjener en maskine, behøver at kunne ændre indstillingerne, og ikke alle, der engang fik adgang til et projekt, har stadig brug for den adgang.
Eksterne monører og leverandører på afstand
Mange produktionssystemer vedligeholdes på afstand af maskineproducenten. Det er funktionelt, men det er også et adgangssti, der skal dokumenteres: hvem fra leverandøren kan logge ind, via hvilken forbindelse, og er forbindelsen kun åben under vedligeholdelse eller permanent. Aftagere stiller ofte eksplicitte spørgsmål her, fordi en åben forbindelse til en tredje part er en af de mere kendte måder, hvorpå en sikkerhedshændelse hos én part kan påvirke en anden. Vurderingen af disse leverandører er i øvrigt et separat trin i pligten til at være omsorgsfuld, adskilt fra adgangskontrol selv.
Adgangskoder og delte konti
Delte konti er praktiske, men de gør det umuligt at se, hvem der gjorde hvad bagefter. Hvor det er muligt, er en konto per person det udgangspunkt, som spørgeskemaer tager. Hvor det på ældre maskiner ikke er teknisk muligt, er svaret ofte, at der er andre foranstaltninger omkring det, såsom et begrænset antal mennesker med fysisk adgang til betjeningspanelet. Et spørgeskema kræver sjældent fuldkommenhed, men et fagligt begrundet svar.
Hvad du dokumenterer, ikke kun hvad du indrettet
Forskellen mellem "det er indrettet" og "det kan påvises" ligger i dokumentationen: en aktuel liste over konti og rettigheder, et tidspunkt for hvornår listen blev kontrolleret, og et navn, der er ansvarlig for at vedligeholde den. Det er præcis her et aktivt dossier beviser sin værdi, fordi det for hver foranstaltning viser en status, et bevisstykke og en ejer i stedet for en løs Word-tekst, som ingen længere opdaterer.
Hvor dette passer ind i det større billede
Adgangskontrol står sjældent alene på en spørgeskema. Det kombineres normalt med spørgsmål om sikkerhedskopier, multi-faktor-godkendelse og hvad der sker, når en hændelse opstår. Hvis du endnu ikke ved, om din organisation kommer i kontakt med NIS2 via en kunde, begynder man normalt med sektoren og rollen i forsyningskæden, ikke med de enkelte foranstaltninger.
Med nogle få spørgsmål, der viser, hvor din virksomhed står får du en første indikation, og i vidensdatabasen efter emne finder du de øvrige foranstaltninger, som vender tilbage i de samme spørgeskemaer. Hvordan vi holder styr på kilder som direktivet og national lovgivning, kan du læse på siden om vores arbejdsmåde. Hvis du er usikker på, hvilket spørgsmål der passer præcist til din situation, så se også under ofte stillede spørgsmål.
NIS2-tjekket og vidensdatabasen er gratis at bruge uden konto. Hvis du vil gå videre, for eksempel vedligeholds et overblik pr. foranstaltning med status og ejer, er det en del af dossieret bag et forretningsabonnement.