Ο έλεγχος πρόσβασης σημαίνει ότι καθορίζετε ποιος μπορεί να έχει πρόσβαση σε ποια συστήματα, με ποιο λογαριασμό, και ότι η πρόσβαση αυτή ανακαλείται όταν κάποιος αλλάξει θέση ή φύγει. Στη μεταλλουργική και κατασκευαστική βιομηχανία, δεν πρόκειται μόνο για φορητούς υπολογιστές και ηλεκτρονικό ταχυδρομείο, αλλά και για μηχανές, PLC και γραμμές παραγωγής που είναι πλέον συνδεδεμένες στο ίδιο δίκτυο με την αυτοματοποίηση γραφείου. Ακριβώς αυτό το σημείο επαφής μεταξύ ΙΤ και παραγωγής είναι το σημείο όπου οι λίστες ελέγχου ασφάλειας συχνά κάνουν περισσότερες ερωτήσεις.
Η ερώτηση εμφανίζεται σχεδόν σε κάθε λίστα ελέγχου επειδή ο έλεγχος πρόσβασης είναι ένα από τα δέκα μέτρα που η υποχρέωση διαχείρισης κινδύνου από την Οδηγία NIS2 (άρθρο 21) αναμένει από τους υπόχρεους φορείς, και οι υπόχρεοι φορείς θέτουν αυτή την απαίτηση ξανά στους προμηθευτές τους μέσω του συμβολαίου. Ένας κατασκευαστής μηχανών ή προμηθευτής που δεν εμπίπτει ο ίδιος στη NIS2, λαμβάνει ωστόσο την ερώτηση, επειδή ένας πελάτης του πρέπει να είναι σε θέση να της απαντήσει.
Η διαφορά μεταξύ γραφείου και δαπέδου παραγωγής
Στο γραφείο, ο έλεγχος πρόσβασης είναι συνήθως ρυθμισμένος: ένας λογαριασμός ανά υπάλληλο, ένας κωδικός πρόσβασης, ίσως ήδη ένα δεύτερο βήμα κατά τη σύνδεση. Στο δάπεδο παραγωγής είναι συχνά διαφορετικό. Οι μηχανές τρέχουν μερικές φορές χρόνια με έναν κοινό λογαριασμό, έναν τεχνικό κωδικό που όλοι γνωρίζουν, ή μια ρύθμιση του προμηθευτή που δεν άλλαξε ποτέ. Αυτό δεν είναι έλλειψη θέλησης, είναι αποτέλεσμα της πράξης της συντήρησης και της αντιμετώπισης δυσλειτουργιών. Οι ρυθμιστικές αρχές και οι αγοραστές δεν κοιτάζουν το ιστορικό, αλλά την τρέχουσα κατάσταση: υπάρχει μια ανασκόπηση του ποιος έχει πρόσβαση σε τι, και είναι αυτή η ανασκόπηση επίκαιρη.
Ποιος έχει πρόσβαση και σε τι ακριβώς
Μια χρήσιμη ανασκόπηση απαντά σε τρεις ερωτήσεις ανά σύστημα: ποιος έχει λογαριασμό, τι μπορεί να κάνει αυτό το άτομο με αυτόν, και είναι αυτό ακόμα απαραίτητο. Για συστήματα παραγωγής, αυτό περιλαμβάνει μεταξύ άλλων τη διάκριση μεταξύ παρακολούθησης (ανάγνωσης κατάστασης), λειτουργίας (εκκίνησης ή διακοπής μιας γραμμής) και προγραμματισμού (τροποποίησης ρυθμίσεων ή λογισμικού ελέγχου). Δεν χρειάζεται όλοι οι οποίοι λειτουργούν μια μηχανή να μπορούν να τροποποιούν τις ρυθμίσεις, και όχι όλοι οι οποίοι είχαν κάποτε πρόσβαση για ένα έργο χρειάζεται να έχουν ακόμα αυτή την πρόσβαση.
Εξωτερικοί τεχνικοί και προμηθευτές εξ αποστάσεως
Πολλά συστήματα παραγωγής συντηρούνται εξ αποστάσεως από τον προμηθευτή της μηχανής. Αυτό είναι λειτουργικό, αλλά είναι και ένα δίδυμο πρόσβασης που πρέπει να καταγραφεί: ποιος από τον προμηθευτή μπορεί να συνδεθεί, μέσω ποιας σύνδεσης, και είναι αυτή η σύνδεση ανοιχτή μόνο κατά τη συντήρηση ή μόνιμα. Οι αγοραστές ρωτούν συχνά ρητά γι' αυτό, επειδή μια ανοιχτή σύνδεση προς ένα τρίτο μέρος είναι ένα από τα πιο γνωστά μέσα μέσω των οποίων ένα συμβάν σε έναν μπορεί να εξαπλωθεί σε έναν άλλον. Η αξιολόγηση αυτών των προμηθευτών είναι ωστόσο ένα ξεχωριστό βήμα στην υποχρέωση διαχείρισης κινδύνου, ανεξάρτητα από τον έλεγχο πρόσβασης.
Κωδικοί πρόσβασης και κοινοί λογαριασμοί
Οι κοινοί λογαριασμοί είναι πρακτικοί, αλλά κάνουν αδύνατο να δούμε αργότερα ποιος έκανε τι. Όπου είναι δυνατό, ένας λογαριασμός ανά άτομο είναι το βήμα που οι λίστες ελέγχου θεωρούν ως σημείο εκκίνησης. Όπου δεν είναι δυνατό τεχνικά σε παλαιότερες μηχανές, η απάντηση είναι συχνά ότι υπάρχουν άλλα μέτρα γύρω, όπως ένας περιορισμένος αριθμός ατόμων με φυσική πρόσβαση στον πίνακα χειρισμού. Μια λίστα ελέγχου σπάνια ζητά τελειότητα, αλλά μια τεκμηριωμένη απάντηση.
Αυτό που καταγράφετε, όχι μόνο αυτό που ρυθμίζετε
Η διαφορά μεταξύ "είναι ρυθμισμένο" και "είναι αποδεικτό" βρίσκεται στην καταγραφή: μια επίκαιρη λίστα λογαριασμών και δικαιωμάτων, μια στιγμή που αυτή η λίστα ελέγχθηκε, και ένα όνομα που είναι υπεύθυνο για τη διατήρησή της. Αυτό είναι ακριβώς το σημείο όπου ένα δυναμικό δοσιέ αποδεικνύει την αξία του, επειδή ανά μέτρο δείχνει μια κατάσταση, ένα αποδεικτικό στοιχείο και έναν κάτοχο, αντί για ένα χαλαρό κείμενο Word που κανείς δεν ενημερώνει πλέον.
Πού ταιριάζει αυτό στο μεγαλύτερο σύνολο
Ο έλεγχος πρόσβασης σπάνια αποτελεί αυτούσια θέση σε ένα ερωτηματολόγιο. Συνήθως συνδυάζεται με ερωτήσεις σχετικά με αντίγραφα ασφαλείας, με πολυπαραγοντική επαλήθευση και με το τι συμβαίνει όταν προκύψει ένα περιστατικό. Όποιος δεν γνωρίζει ακόμη αν η δική του οργάνωση μέσω ενός πελάτη αντιμετωπίζει θέματα NIS2, ξεκινά συνήθως από τον τομέα και τον ρόλο στην αλυσίδα εφοδιασμού, όχι από τα επιμέρους μέτρα διαχείρισης κινδύνου.
Με μερικές ερωτήσεις που δείχνουν πού βρίσκεται η επιχείρησή σας λαμβάνετε μια πρώτη ένδειξη, και στο η τράπεζα γνώσεων ανά θέμα θα βρείτε τα άλλα μέτρα διαχείρισης κινδύνου που εμφανίζονται στα ίδια ερωτηματολόγια. Πώς παρακολουθούμε πηγές όπως η οδηγία και η εθνική νομοθεσία, διαβάζετε στο σχετικά με τη μεθοδολογία μας. Εάν αμφιβάλλετε ποια ερώτηση ακριβώς ταιριάζει στην κατάστασή σας, δείτε επίσης το συχνές ερωτήσεις.
Ο έλεγχος NIS2 και η τράπεζα γνώσης είναι δωρεάν προσβάσιμα, χωρίς λογαριασμό. Εάν θέλετε να προχωρήσετε παραπέρα, για παράδειγμα να διατηρήσετε μια επισκόπηση ανά μέτρο διαχείρισης κινδύνου με κατάσταση και υπεύθυνο, τότε αυτό περιλαμβάνεται στο δοσιέ πίσω από μια εμπορική συνδρομή.