Μια πολιτική προμηθευτών για τον κλάδο εγκατάστασης είναι μια επισκόπηση των μερών με τα οποία συνεργάζεστε — αναδόχων, ελεύθερων επαγγελματιών, προμηθευτών λογισμικού για τον προγραμματισμό σας ή τα συστήματα διαχείρισης κτιρίων — με εκτίμηση του κινδύνου που εισάγει κάθε μέρος. Για τις επιχειρήσεις εγκατάστασης, η έμφαση συχνά δεν περιορίζεται μόνο στην ψηφιακή πρόσβαση, αλλά επεκτείνεται και στη φυσική πρόσβαση: ποιος παίρνει ένα κλειδί, ένα κάρτα πρόσβασης ή μια σύνδεση στο σύστημα διαχείρισης του πελάτη σας.
Αυτό κάνει τον κλάδο εγκατάστασης μια ιδιαίτερη περίπτωση. Ενώ μια εταιρεία λογισμικού εστιάζει κυρίως στο ποιος μπορεί να έχει πρόσβαση στον πηγαίο κώδικα, μια επιχείρηση εγκατάστασης κοιτάζει ποιος βρίσκεται στο κτίριο του πελάτη, ποια καλώδια αγγίζονται και ποιες πληροφορίες για το κτίριο — σχέδια, κωδικοί συναγερμών, αρχείαγ πρόσβασης — μεταδίδονται σε έναν αναδόχο. Μια πολιτική προμηθευτών συνδυάζει αυτούς τους δύο κόσμους, τον φυσικό και τον ψηφιακό, σε μια ενιαία επισκόπηση.
Γιατί είναι σχετικό ακόμα και χωρίς δική σας υποχρέωση
Οι επιχειρήσεις εγκατάστασης συνήθως δεν υπόκεινται ο ίδιες στην υποχρέωση φροντίδας του Νόμου Διαφύλαξης Δεδομένων (Cyberbeveiligingswet). Όμως ο ανάδοχος που είναι υποχρεωμένος — ένα νοσοκομείο, μια εταιρεία ενέργειας, ένας δήμος — πρέπει να αξιολογήσει την ίδια του αλυσίδα, και αυτό σημαίνει ότι εξετάζει και ποιον ενεργοποιούν εσείς. Ένας αναδόχος με έναν ακατευθύντητο φορητό υπολογιστή που συνδέεται στο σύστημα διαχείρισης κτιρίων ενός νοσοκομείου αποτελεί κίνδυνο για τον ανάδοχο, ακόμη και αν το συμβόλαιο υπογράφτηκε επισήμως με εσάς. Μια πολιτική προμηθευτών δείχνει ότι γνωρίζετε και διαχειρίζεστε αυτή τη δοθειμένη αλυσίδα, αντί να μείνετε χωρίς απάντηση όταν έρθει το ερώτημα. Περισσότερα σχετικά με το τι ακριβώς ο ανάδοχος μπορεί να ζητήσει, διαβάστε στο την επισκόπηση των θεμάτων ανά τομέα.
Τι ακριβώς πρέπει να περιλαμβάνεται στην πολιτική
Μια εφαρμόσιμη πολιτική προμηθευτών ξεκινά με μια λίστα: ποιος δουλεύει για εσάς, με ποια πρόσβαση, και πόσο σταθερή είναι η σχέση. Για τις επιχειρήσεις εγκατάστασης, αυτές είναι συνήθως τρεις κατηγορίες. Αναδόχους και ελεύθερους επαγγελματίες που εργάζονται επί τόπου και λαμβάνουν φυσική πρόσβαση σε κτίρια, ντουλάπια κλειδιών ή δωμάτια διακομιστών. Προμηθευτές λογισμικού για συστήματα προγραμματισμού, χρέωσης ή διαχείρισης κτιρίων που παρακολουθούν ή συνεργάζονται από απόσταση. Και προμηθευτές υλικών ή εξοπλισμού που μερικές φορές χρειάζονται και τη δική τους σύνδεση, για παράδειγμα για εγγραφή εγγύησης από απόσταση.
Για κάθε μέρος, το ερώτημα είναι τι αποτελεί έναν λογικό έλεγχο: μια δήλωση ότι οι κωδικοί πρόσβασης δεν μοιράζονται μεταξύ των υπαλλήλων, μια συμφωνία για το τι συμβαίνει με τους κωδικούς πρόσβασης μετά το τέλος ενός έργου, ή απλώς ένα άτομο επικοινωνίας που μπορείτε να φτάσετε αν κάτι πάει στραβά. Δεν κάθε προμηθευτής ζητά το ίδιο βάθος — ένας προμηθευτής βιδών ζητά κάτι διαφορετικό από έναν αναδόχο που συνδέεται με το δικό σας λογαριασμό στο σύστημα διαχείρισης ενός νοσοκομείου.
Αναδόχους και πρόσβαση: το σημείο όπου συχνά πάει στραβά
Στον κλάδο εγκατάστασης υπάρχει μεγάλη εργασία με διάφορους αναδόχους, μερικές φορές για ένα έργο, μερικές φορές δομικά. Αυτό καθιστά την διαχείριση πρόσβασης δυσκολότερη από ό,τι σε μια επιχείρηση με σταθερή ομάδα. Ένα πρακτικό σημείο εκκίνησης είναι μια απλή ερώτηση ανά αναδόχο: παίρνει αυτό το άτομο τη δική του κάρτα πρόσβασης ή κλειδί, ή δουλεύει με έναν κοινό κωδικό; Αποσύρεται η πρόσβαση αυτή αμέσως μετά το τέλος του έργου, ή παραμένει ενεργή μέχρι κάποιος να θυμηθεί να την αποκλείσει; Και ποιος στη δική σας επιχείρηση είναι υπεύθυνος για τη διακοπή αυτής;
Αυτές οι ερωτήσεις φαίνονται οργανωτικές, όχι τεχνικές, αλλά είναι ακριβώς αυτό για το οποίο μιλά μια πολιτική προμηθευτών: όχι για firewalls, αλλά για ποιος πού εισέρχεται και γιατί. Για τα ευρύτερα μέτρα γύρω από την πρόσβαση στο δικό σας επιχείρηση υπάρχει ξεχωριστή εμβάθυνση· αυτό το άρθρο αφορά ειδικά τα μέρη εκτός της επιχείρησής σας που ενεργοποιούν εσείς.
Πώς να ξεκινήσετε χωρίς να το κάνετε ετήσιο έργο
Μια πολιτική προμηθευτών δεν χρειάζεται να είναι πλήρης αμέσως. Μια λογική σειρά είναι: ξεκινήστε με τα μέρη που έχουν πρόσβαση στα πιο ευαίσθητα περιβάλλοντα — συστήματα διαχείρισης κτιρίων σε πελάτες από τομείς ζωτικής σημασίας, ή λογισμικό που παρακολουθεί από απόσταση. Τεκμηριώστε ανά μέρος τι γνωρίζετε, τι ακόμη πρέπει να διερευνήσετε και ποιος το αναλαμβάνει. Στη συνέχεια, επεκτείνετε αυτήν την εικόνα στο υπόλοιπο της αλυσίδας.
Το κατά πόσον και σε ποιο βαθμό αυτό είναι σχετικό για την εταιρεία σας εξαρτάται από τους τομείς στους οποίους δραστηριοποιούνται οι πελάτες σας και από τη φύση της δικής σας υπηρεσίας. Ένας σύντομος έλεγχος δείχνει πού βρίσκεται η εταιρεία σας στην αλυσίδακαι η τράπεζα γνώσης στο secria.eu δείχνει ανά θέμα ποια θέση στο επίσημο κείμενο σχετίζεται με αυτό. Πώς διατηρούμε αυτές τις πηγές φαίνεται αναλυτικά στο σχετικά με τη μεθοδολογία μας.
Τι δεν αντικαθιστά αυτό το άρθρο
Μια πολιτική προμηθευτών είναι ένα οργανωτικό έγγραφο, όχι νομικές συμβουλές σχετικά με τα συγκεκριμένα συμβόλαια σας ή την ευθύνη σας απέναντι σε υπεργολάβους. Για ερωτήσεις σχετικά με αυτό, ένας δικηγόρος ή η βιομηχανική οργάνωση είναι το κατάλληλο σημείο επικοινωνίας. Συχνές ερωτήσεις σχετικά με το πεδίο εφαρμογής του νόμου και το ρόλο των προμηθευτών συγκεντρώνονται στο τη σελίδα με τις συχνές ερωτήσεις.
Θέλετε να μάθετε πού βρίσκεται η ίδια εταιρεία σας και ποιοι προμηθευτές στην αλυσίδα σας αξίζουν πρώτα προσοχή; Η γρήγορη σάρωση είναι δωρεάν και δίνει σε λίγα λεπτά μια πρώτη ένδειξη, χωρίς να χρειάζεστε λογαριασμό.