Installatsioonifirma turvakysimustik käsitleb peaaegu alati ühte põhiküsimust: kellel on juurdepääs toimiku asutuse hoonele ja süsteemidele ning kuidas seda juurdepääsu hallatakse. Installatsioonifirmad töötavad paigal, neil on sageli võtmed või märgised ning nad ühendavad seadmeid hoonehaldussüsteemidesse, kliimasüsteemidesse või häiresüsteemidesse, mida mõnikord ka kaugelt hallatakse. Täpselt siin asuvad küsimused, mis selles sektoris korduvalt esile tulevad.
Kysimustik tuleb tavaliselt mitte sellepärast, et installatsioonifirma ise NIS2-direktiivi alla kuulub, vaid sellepärast, et tema klient seda teeb. Selline klient — haigla, energeetikafirma, veeamettide osakond, suurettevõtja kinnisvara valdamises — on kohustatud hooldusvaldkonna maatregeid rakendama, mis nõuab tema tarnijate hindamist. Installatsioonifirma, kellel on juurdepääs sellist organisatsiooni hooneile või süsteemidele, on seega tarnija ahela kaudu mõjutatud, isegi kui ta ei kuulu seaduse sihtrühmasse.
Miks see sektor saab sagedamini küsimustiku
Installatsioonifirmad hooldavad sageli täpselt seda infrastruktuuri, mis on toimiku asutusele kriitiline: küte, ventilatsioon, elekter, tulekahju signalisatsioon, juurdepääsukontroll. Need süsteemid on üha sagedamini võrgus ühendatud ning mõnikord on installatsioonifirma ainus osapool, kes saab kaugelt sisse logida häirete parandamiseks. Toimiku asutuse jaoks on see põhjus soovida teada, kuidas see juurdepääs on kaitstud. Kas konkreetne firma seaduse alla kuulub või on tarnija ahela kaudu mõjutatud, on mõne küsimusega.
Juurdepääs hoonele: mida küsitakse
Füüsilise osa puhul käib tavaliselt jutt sellest, kuidas võtmeid, märgiseid ja häirekoode antakse välja ja tagastamisest. Korduvad küsimused: kes firmasiseselt käsutab klientide asukohta juurdepääsuvahendit, kui kiiresti märgis blokeeritakse, kui montöör teenistusest lahkub, ja kas on ülevaade sellest, kellel on kuhu juurdepääs. Samuti küsitakse regulaarselt, kas alamintressentidele antakse iseseisev juurdepääs või töötavad nad alati juhendamise all.
Juurdepääs asukohapaigas olevatele süsteemidele: mida küsitakse
Digitaalse osa puhul keskenduvad küsimused asukohapaigas oleva varustuse ja ühenduste turvalisusele. Võimalikud küsimused on, kas sisse logitakse isikliku konto või jagatud parooliga, kas hoonehaldussüsteemi kaugelt hallatamisel kasutatakse mitmeastmelist autentimist, ja kuidas juurdepääs tühistatakse, kui projekt on lõppenud või töötaja lahkub. Ka montöö seadmed, mis asukohapaigas ühendatakse — sülearvuti või tahvelarvuti — on regulaarselt küsimuse teemaks: hallatakse seda seadmeid firma poolt ja kas sellel on turvavara.
Alamintressentid ja ajutised töötajad
Installatsioonitöid teevad sageli osaliselt alamintressentid või välja kutsutud personal. Toimiku asutused küsivad seetõttu mõnikord, kuidas installatsioonifirma ise oma tarneahela hallab: saab alamintressentidele samad juurdepääsuvahendit, mis omale personalile, ja kas on nähtavus, kes kindlal päeval asukohapaigas tegelikult käis. See joondub laiema põhimõttega, et hooldusvaldkonna kohustus ei vaata mitte ainult vahetu tarnija poole, vaid ka poolte poole, keda see tarnija omakorda kasutab.
Mida saate nende küsimustega teha
Küsimused ise pole sageli keerulised, kuid vastuse andmiseks on vaja midagi, mis on dokumenteeritud: ülevaade sellest, kellel on juurdepääs, kuidas see juurdepääs tühistatakse ja kes selle eest vastutab. Ettevõtted, kes seda veel paberil kirja ei panda, märkavad, et suurem osa ajast kulub sellele, mis praktikas juba toimub. Ülevaade teemadest, mis sellistes küsitlustes ilmnevad, iga olukorra kaupa väljatöötatud, asub lehel teemadega sektorikaupa. Kes soovib teada, kuidas teave secria.eu veebisaidil tekib ja milliseid allikaid sellega kasutatakse, loeb seda töömeetodite leheküljelt.
Oluline on mõista, et turvaküsitlus ei ole iseenesest seaduslik kohustus, vaid instrument, mille abil tellija täidab oma hoolsusmäära. Mida tellija täpselt võib küsida ja mida mitte, erineb sõltuvalt olukorrast ja lepingust; enda olukorra puhul on see asi, mida arutada tellija või vajaduse korral õigusnikaga. Sageli esitatud küsimused seda tüüpi küsitluste kohta, sealhulgas kui sageli võib ettevõte neid oodata, on kogutud sagedamini esitatud küsimuste leht.
Kes soovib näha, milliseid juurdepääsukontrolli ja füüsilise turvalisuse meetmeid sageli küsitakse ja kuidas need omakorda on seotud ettevõtte tegevusega, saab seda vaadata tasuta ja ilma kontota NIS2-kontrolli ja secria.eu teadusbaasi kaudu.