Juhtum paigaldusettevõttes ei ole alati häkitud sülearvuti. Sama sageli on tegemist montöriga, kes logib sisse vale kontoga kliendi hoonetehaldussüsteemi, salasilla, mis pole korralikult suletud, või planeerimistöötajaga, kes klõpsab kalastuslingile, mille tulemusena on kliendi parool avaldatud. Mida te fikseerite, on kõigi nende situatsioonide puhul sisuliselt sama: millal see avastati, täpselt mis juhtus, kes oli seotud, milline juurdepääs oli küsimuses, milline toiming võeti ja kellele teatati.
See fikseeritavus erineb teatamisest järelevalveasutusele. Sisemine juhtumite register on pideva ajaloolise logiga päevik, mida te ise pidevaltkallal hoiate, olenemata sellest, kas juhtum nõuab teatamist. Organisatsioonide puhul, mis ise NIS2-direktiivi alla kuuluvad, kuulub see register artikli 21 hoolsuskohustuse juurde. Palju suurema paigaldusettevõtete rühma puhul, mis ise ei ole kohustatud, kuid keda hinnatakse hankijana, on register sageli täpselt see, mida ostja turvaküsitlus küsib: saate näidata, et teate juhtumeid ära, fikseerite neid ja teete nendega midagi? Olenemata sellest, kas olete ise seaduse alla kuuluvad või ainult tarneahela kaudu mõjutatud, saate oma positsiooni tarneahelas kontrollida paari küsimuse abil, mis näitavad teie positsiooni tarneahelas.
Mida peaks register sisaldama
Kasulik juhtumite register sisaldab iga sündmuse puhul avastamise kuupäeva ja kellaaega, lühikest kirjeldust sellest, mida nähti või teatati, ja nime inimesest, kes selle märkas või teatas. Seejärel märkite, millist süsteemi, asukohta või klienti see puudutas, ja milline juurdepääs sel rollil oli: jagatud parool, füüsiline võti, juurdepääsupas, VPN-ühendus kliendi võrgusse. Järgmisena fikseerite võetud meetmeid, kes nende eest vastutab, ja kas ning millal informeeriti klienti või organisatsiooni ennast. Lõpuks reegel sulgemise kohta: kas juhtum lahendati ja kas muudeti midagi selle tulemusena.
See viimane rida jäetakse sageli vahele, samas kui järelevalveasutused ja tellimuste andvad just sellele vaatavad. Register, mis ainult teatisi summaab, räägib vähe. Register, millest on näha, et korduv probleem viis muutusele töömeetodites, näitab, et organisatsioon neist õpib.
Montööride kohapealne spetsiifiline olukord
See, mis paigaldusettevõtet eristab näiteks tarkvaraettevõttest, on see, et juurdepääs on harva ainult digitaalne. Montöör, kes peab kliendile külastama, omab sageli nii füüsilist võtit või passi kui ka digitaalset kontot hoonetehaldussüsteemis, häiresüsteemis või kliimaseadmes. Juhtum võib tekkida seetõttu, et võti kaob, et vana töötaja konto pole tühistatud, või et sülearvuti, millel on salvestatud sisselogiandmed, auto ruumist varastatakse. Registris see erinevus palju ei oma tähtsust: igal juhul on küsimus sama, nimelt kes millal juurdepääsu omandas ja kas see oli õigustatud.
See puudutab otseselt juurdepääsukontrolli: kes võib millisel süsteemis ja võtmete juurde, ja kas see ülevaade on ajakohaline. Juhtumite register ilma pideva juurdepääsuülevaateta on raske terviklikuks saada, sest siis peate iga juhtumi puhul uuesti välja selgitama, kes kelle juurde võis. Pid pideva meetmete, staatuste ja omanike ülevaateta, nagu cyber-dossier hoiab, muudab see selgitamistöö tarbetu.
Kõiki juhtumeid pole vaja sama käsitlusega käsitleda
Materialsus on oluline ka siin: kaotatud paroolivihik, mille suhtes reageeriti kohe ja muudeti parool, kaalub teisiti kui volitamata külastus klientide süsteemis, mille avastamine võtab nädalaid. Direktiiv ja rahvuslik seadusandlus teevad vahet tõsistel intsidentidel ja väiksematel juhtumitel, ning järelevalveasutused vaatavad seejuures mõju teenuse osutamisele ja kliendile. Teie enda hinnangu kindel osa on seega: kas see intsident puudutab ainult oma äriühingu tegevust või ka kliendi süsteeme või andmeid. Viimase puhul tekib kohustus selle kliendi informeerimisele nii sageli esile, olenemata küsimusest, kas kehtib ka seaduslik teatamiskohustus.
Millised tähtajad ja avaused siin täpselt kehtivad, erineb olenev olukorrast ja riigist, kus teil tegevust on. Täpse teksti ja leiumiskoha suhtes viitame ametlikele allikatele ja teie enda olukorra suhtes juristile või pädevale järelevalveasutusele. Ülevaade sellest, kuidas me allikaid jälgime ja kust need pärinevad, asub lehel kus meie töömeetodit selgitatakse.
Kuidas see praktikas välja käib
Installatsioonibüroo, mis saab näidata, kuidas see intsidente registreerib ja jälgib, annab tellijale midagi konkreetset kätte turvaküsimustiku vastamisel ja omab ise teatmist selleks ajaks, kui asi jälle paigast läheb. Kes veel kindlat vormi selle registri jaoks ei oma, leiab alguspunkti ja asjaomast selgitust aadressilt iga olukorra teemade ülevaates, ja korduma kippuvad küsimused selle kohta, mis sellisesse registrisse kuulub ja mis mitte, on koondatud lehele vastuste leht sagedastele küsimustele.
Alustage soovi korral tasuta kiirskaneerimisega: paari küsimusega näete, kas teie organisatsioon ise seaduse all langeb, ahelkaudu on mõjutatud või kumbagi mitte, koos selgitusega iga tulemuse kohta.