El control de acceso significa que usted especifica quién puede acceder a qué sistemas, con qué cuenta, y que ese acceso se revoca cuando alguien cambia de función o se va. En la industria metalmecánica, no se trata solo de portátiles y correo electrónico, sino también de máquinas, PLC y líneas de producción que ahora están conectadas a la misma red que la automatización de oficina. Precisamente esta interfaz entre TI y producción es donde los cuestionarios de seguridad suelen profundizar.
La pregunta aparece en casi todos los cuestionarios porque el control de acceso es una de las diez medidas que la obligación de diligencia debida de la Directiva NIS2 (artículo 21) espera de las organizaciones obligadas, y esas organizaciones repiten ese requisito a través del contrato con sus proveedores. Una empresa de fabricación de máquinas o un proveedor que no esté sujeto a NIS2 recibe la pregunta de todos modos, porque un cliente debe poder responderla.
La diferencia entre la oficina y la planta de producción
En la oficina, el control de acceso generalmente está configurado: una cuenta por empleado, una contraseña, quizás ya un segundo factor en el inicio de sesión. En la planta de producción, a menudo es diferente. Las máquinas a veces funcionan durante años con una única cuenta compartida, una contraseña técnica que todos conocen, o una configuración del proveedor que nunca ha cambiado. No es falta de voluntad, ha crecido de la práctica del mantenimiento y la resolución de problemas. Los reguladores y los clientes no miran la historia, sino la situación actual: ¿existe un resumen de quién puede acceder a qué, y es ese resumen actual?
Quién tiene acceso, y a qué exactamente
Un resumen útil responde tres preguntas por sistema: quién tiene una cuenta, qué puede hacer esa persona con ella, y si eso sigue siendo necesario. Para sistemas de producción, esto incluye, entre otras cosas, la distinción entre visualizar (leer el estado), operar (iniciar o detener una línea) y programar (cambiar configuraciones o software de control). No todos los que operan una máquina necesitan poder modificar la configuración, y no todos los que alguna vez tuvieron acceso para un proyecto aún lo necesitan.
Técnicos externos y proveedores remotos
Muchos sistemas de producción son mantenidos a distancia por el proveedor de la máquina. Es funcional, pero también es una ruta de acceso que debe documentarse: quién del proveedor puede iniciar sesión, mediante qué conexión, y si esa conexión está abierta solo durante el mantenimiento o de forma permanente. Los clientes a menudo preguntan explícitamente sobre esto, porque una conexión abierta a un tercero es una de las formas más conocidas en que un incidente en una organización puede afectar a otra. La evaluación de esos proveedores es, por lo demás, un paso separado en la obligación de diligencia debida, independiente del control de acceso en sí.
Contraseñas y cuentas compartidas
Las cuentas compartidas son prácticas, pero hacen imposible determinar posteriormente quién hizo qué. Cuando es posible, una cuenta por persona es el punto de partida que asumen los cuestionarios. Cuando eso no es técnicamente posible en máquinas antiguas, la respuesta a menudo es que hay otras medidas alrededor, como un número limitado de personas con acceso físico al panel de control. Un cuestionario rara vez pide perfección, pero sí una respuesta fundamentada.
Lo que usted documenta, no solo lo que usted regula
La diferencia entre "está regulado" y "es demostrable" está en la documentación: una lista actual de cuentas y derechos, un momento en el que se verificó esa lista, y un nombre responsable de mantenerla. Eso es precisamente donde un expediente vivo demuestra su valor, porque muestra por cada medida un estado, un comprobante y un responsable en lugar de un texto Word suelto que nadie actualiza.
Cómo encaja esto en el conjunto más amplio
El control de acceso rara vez aparece solo en un cuestionario. Suele combinarse con preguntas sobre copias de seguridad, autenticación multifactor y qué ocurre cuando se produce un incidente. Quienes aún no saben si su propia organización tendrá que tratar con NIS2 a través de un cliente, suelen comenzar por el sector y el papel en la cadena de suministro, no por las medidas individuales.
Con unas pocas preguntas que muestren dónde se encuentra su empresa obtiene una primera indicación y en el banco de conocimiento por tema encontrará las otras medidas que aparecen en los mismos cuestionarios. Cómo mantenemos fuentes como la directiva y la legislación nacional, lo puede leer en la página sobre nuestra metodología. Si duda qué pregunta exacta se ajusta a su situación, consulte también las preguntas más frecuentes.
La comprobación NIS2 y la base de conocimientos son gratuitas y sin necesidad de cuenta. Si desea ir más allá, por ejemplo mantener un resumen por medida con estado y responsable, eso forma parte del expediente detrás de una suscripción comercial.