Ένα συμβάν στον κλάδο εγκατάστασης δεν είναι πάντα ένας χακαρισμένος φορητός υπολογιστής. Είναι εξίσου συχνά ένας τεχνικός που συνδέεται με ένα λάθος λογαριασμό στο σύστημα διαχείρισης κτιρίων ενός πελάτη, ένα θυρίδα κλειδιών που δεν είναι σωστά κλειστή, ή ένας υπάλληλος προγραμματισμού που κάνει κλικ σε έναν σύνδεσμο με περιεχόμενο κοινωνικής μηχανικής με αποτέλεσμα να αποκαλυφθεί ένας κωδικός πρόσβασης πελάτη. Αυτό που καταγράφετε, είναι για καθεμία από αυτές τις καταστάσεις στο επίκεντρο το ίδιο: πότε ανακαλύφθηκε, τι ακριβώς συνέβη, ποιος ήταν εμπλεκόμενος, ποια πρόσβαση ήταν σε κίνδυνο, ποια ενέργεια έγινε και ποιος ενημερώθηκε.
Αυτή η καταγραφή είναι κάτι διαφορετικό από την αναφορά σε μια αρχή εποπτείας. Ένα εσωτερικό μητρώο συμβάντων είναι ένα συνεχές ημερολόγιο που τηρείτε ο ίδιος, ανεξάρτητα από το αν ένα συμβάν υπόκειται σε υποχρέωση αναφοράς. Για οργανισμούς που αυτοί ο ίδιοι υπόκεινται στη Διεθνή Κατευθυντήρια Γραμμή 2022/2555, αυτό το μητρώο είναι μέρος της υποχρέωσης επιμέλειας από το άρθρο 21. Για την πολύ μεγαλύτερη ομάδα εταιρειών εγκατάστασης που δεν υπόκεινται στο νόμο αλλά αξιολογούνται ως προμηθευτές, το μητρώο είναι συχνά ακριβώς αυτό που ένας κατάλογος ελέγχου ασφάλειας ενός ανάδοχου ζητάει: μπορείτε να δείξετε ότι αναγνωρίζετε, καταγράφετε και αντιμετωπίζετε συμβάντα; Είτε υπόκεινστε στο νόμο ή μόνο μέσω της αλυσίδας παροχής υπηρεσιών, μπορείτε να ελέγξετε τη θέση σας στην αλυσίδα με μερικές ερωτήσεις που δείχνουν τη θέση σας στην αλυσίδα παροχής υπηρεσιών.
Τι ανήκει στο μητρώο
Ένα χρήσιμο μητρώο συμβάντων περιέχει ανά γεγονός ημερομηνία και ώρα ανακάλυψης, μια σύντομη περιγραφή του τι ήταν ορατό ή αναφέρθηκε, και το όνομα του ατόμου που το παρατήρησε ή το ανέφερε. Εκτός αυτού, καταγράφετε ποιο σύστημα, ποια θέση ή ποιος πελάτης επλήγη, και ποια πρόσβαση διαδραμάτισε ρόλο: ένας κοινόχρηστος κωδικός πρόσβασης, ένα φυσικό κλειδί, ένας κώδικας πρόσβασης, μια σύνδεση VPN στο δίκτυο του πελάτη. Στη συνέχεια, καταγράφετε ποια ενέργεια ελήφθη, ποιος ήταν υπεύθυνος γι' αυτήν, και εάν και πότε ενημερώθησαν ο πελάτης ή ο δικός σας οργανισμός. Τέλος, μια σημείωση σχετικά με το κλείσιμο: επιλύθηκε το συμβάν και άλλαξε κάτι ως αποτέλεσμα;
Αυτή η τελευταία σημείωση συχνά παραλείπεται, ενώ οι αρχές εποπτείας και οι ανάδοχοι ακριβώς σε αυτήν κοιτάζουν. Ένα μητρώο που μόνο αθροίζει αναφορές, λέει λίγα. Ένα μητρώο στο οποίο είναι ορατό ότι ένα επαναλαμβανόμενο πρόβλημα οδήγησε σε αλλαγή στο τρόπο εργασίας, δείχνει ότι ο οργανισμός μαθαίνει από αυτό.
Η ειδική κατάσταση τεχνικών στη θέση τους
Ό,τι διακρίνει τον κλάδο εγκατάστασης από ένα λογισμικό εταιρεία, είναι ότι η πρόσβαση σπάνια είναι μόνο ψηφιακή. Ένας τεχνικός που πρέπει να μπει σε ένα μέρος ενός πελάτη, έχει συχνά τόσο έναν φυσικό κλειδί ή κάρτα πρόσβασης όσο και έναν ψηφιακό λογαριασμό για το σύστημα διαχείρισης κτιρίων, το σύστημα συναγερμού ή το κλιματικό σύστημα. Ένα συμβάν μπορεί λοιπόν να προκύψει επειδή ένας κλειδί χάθηκε, επειδή ένας λογαριασμός ενός πρώην υπαλλήλου δεν αποσύρθηκε, ή επειδή ένας φορητός υπολογιστής με αποθηκευμένα στοιχεία σύνδεσης κλάπηκε από ένα αυτοκίνητο. Στο μητρώο αυτή η διάκριση δεν παίζει μεγάλο ρόλο: πάει πάντα γύρω από το ίδιο ερώτημα, δηλαδή ποιος σε ποιον χρόνο είχε πρόσβαση και αν αυτό ήταν ακόμα δικαιολογημένο.
Αυτό συνδέεται άμεσα με τη διαχείριση πρόσβασης: ποιος μπορεί να αποκτήσει πρόσβαση σε ποια συστήματα και κλειδιά, και αν αυτή η επισκόπηση είναι ενημερωμένη. Ένα μητρώο συμβάντων χωρίς ένα συνεχές επισκόπηση πρόσβασης είναι δύσκολο να ολοκληρωθεί, επειδή τότε πρέπει να ανακαλύψετε εκ νέου για κάθε συμβάν ποιος μπορούσε να προσπελάσει ποιον. Ένα συνεχές επισκόπηση μέτρων, καταστάσεων και ιδιοκτητών, όπως ένα κυβερνο-δοσιέ, καθιστά αυτή τη διερεύνηση περιττή.
Δεν χρειάζεται κάθε περιστατικό την ίδια αντιμετώπιση
Η σημαντικότητα παίζει επίσης ρόλο εδώ: ένα χαμένο σημειωματάριο κωδικού πρόσβασης που ανακαλύφθηκε αμέσως και αλλάχθηκε, έχει διαφορετικό βάρος από μια μη εξουσιοδοτημένη επίσκεψη σε ένα σύστημα πελάτη που έγινε γνωστή μόνο μετά από εβδομάδες. Η ευρωπαϊκή οδηγία και η εθνική νομοθεσία διακρίνουν σημαντικά συμβάντα από ασήμαντα περιστατικά, και οι αρχές εποπτείας εξετάζουν τις συνέπειες για την παροχή υπηρεσιών και για τον πελάτη. Ένα σταθερό στοιχείο της δικής σας αξιολόγησης είναι λοιπόν: αφορά το συμβάν μόνο τη δική σας λειτουργία ή και τα συστήματα ή τα δεδομένα ενός πελάτη. Στην τελευταία περίπτωση, η υποχρέωση να ενημερώσετε τον πελάτη προκύπτει εύκολα, ανεξάρτητα από το αν υπάρχει και νόμιμη υποχρέωση αναφοράς.
Ποιες προθεσμίες και κατώφλια ισχύουν ακριβώς, διαφέρει ανάλογα με την κατάσταση και τη χώρα στην οποία δραστηριοποιείστε. Για το ακριβές κείμενο και τη θέση του, παραπέμπουμε στις επίσημες πηγές, και για τη δική σας κατάσταση σε έναν νομικό σύμβουλο ή την αρμόδια αρχή εποπτείας. Ένας κατάλογος του τρόπου με τον οποίο διατηρούμε πηγές και από που προέρχονται, βρίσκεται στη σελίδα όπου εξηγείται η μεθοδολογία μας τη σελίδα όπου εξηγείται η μεθοδολογία μας.
Πού οδηγεί αυτό στην πράξη
Μια εγκαταστάτρια εταιρεία που μπορεί να δείξει πώς καταγράφει και παρακολουθεί τα συμβάντα, δίνει σε έναν ανθεκτή κάτι συγκεκριμένο στο χέρι κατά την απάντηση σε έναν κατάλογο ερωτήσεων ασφαλείας, και έχει ο ίδιος ένα έργο αναφοράς για τη στιγμή που ξανασυμβεί. Όποιος δεν έχει ακόμη ένα σταθερό πρότυπο για αυτό το μητρώο, βρίσκει ένα σημείο εκκίνησης και την αντίστοιχη εξήγηση στο την επισκόπηση των θεμάτων ανά περίστασηκαι συχνές ερωτήσεις για το τι ανήκει και τι δεν ανήκει σε ένα τέτοιο μητρώο συγκεντρώνονται στη σελίδα τη σελίδα με απαντήσεις σε επαναλαμβανόμενες ερωτήσεις.
Εάν επιθυμείτε, ξεκινήστε με τη δωρεάν γρήγορη έρευνα: σε λίγες ερωτήσεις θα δείτε αν η οργάνωσή σας εμπίπτει στο νόμο, είτε επηρεάζεστε μέσω της αλυσίδας εφοδιασμού, είτε κανένα από τα δύο, με εξήγηση για κάθε αποτέλεσμα.