Juurdepääsukontroll tähendab, et määrate kindlaks, kes milliste süsteemidega võib töötada, mis kontoga, ja juurdepääs keelatakse niipea, kui keegi ametikohta vahetab või ettevõtet lahkub. Metall- ja töötlemistööstuses ei käi see ainult sülearvutite ja e-posti kohta, vaid ka masinate, PLC-de ja tootmisliinide kohta, mis on samal ajal ühendatud samasse võrku nagu kontoriarvutisüsteemid. Täpselt see osa IT-i ja tootmise vahel on koht, kus turvalisuse küsimustike koostajad sageli täpsustusid otsivad.
Küsimus esineb peaaegu iga küsimustikus, sest juurdepääsukontroll on üks kümmenest meetmest, mida NIS2-direktiivi teadlikkusekohustus (artikkel 21) kohustikelt organisatsioonidelt oodab, ja need kohustlikud organisatsioonid panid selle nõude lepingu kaudu oma tarnijatele. Seega saab masinatehase või tarnijapoolne ettevõte, kes NIS2 alla ei kuulu, küsimuse ikkagi, sest klient peab sellele vastata saama.
Erinevus bürooga ja tootmishallide vahel
Kontoris on juurdepääsukontroll tavaliselt kehtestatud: üks konto töötaja kohta, salasõna, võib-olla juba teine samm sisselogimisel. Tootmishallis on see sageli teisiti. Masinad käivad mõnikord juba aastate jooksul ühe jagatud kontoga, tehniline salasõna, mida kõik teavad, või tarnija sätted, mida ei ole kunagi muudetud. See ei ole vastumeelsus, see on tõusnud hoolduse ja rikete lahendamise praktikast. Järelevalvijad ja ostjad ei vaata selle ajaloo peale, vaid praegusele olukorrale: kas on olemas selge ülevaade, kes millega pääseb, ja kas see ülevaade on ajakohastatetud.
Kes sellele pääseb ja täpselt millele
Kasulik ülevaade vastab kolmele küsimusele iga süsteemi kohta: kellel on konto, mida saab sellega teha ja kas see on endiselt vajalik. Tootmissüsteemide jaoks tähendab see muuhulgas erinevust vaatamise (staatuse lugemise) vahel, käitamise (joone käivitamise või peatamise) vahel ja programmerimise (seadete või juhtimistarkvara muutmise) vahel. Mitte kõik, kes masinat käitavad, ei pea saama seadeid muuta, ja mitte kõik, kes kunagi projekti jaoks juurdepääsu said, ei vaja seda juurdepääsu enam.
Välised monöörid ja kaugtarvitajad
Paljusid tootmissüsteeme hooldab kaugelt masina tarnija. See on funktsionaalne, kuid see on ka juurdepääsutee, mis peaks olema dokumenteeritud: kes tarnijalt saab sisselogida, millise ühenduse kaudu, ja kas see ühendus on avatud ainult hoolduse ajal või jäädavalt. Ostjad küsivad selle kohta sageli selgesõnaliselt, sest ühendus kolmanda osapoolega on üks teadaolevamaid viise, kuidas ühel intsidenti võib teisele üle minna. Nende tarnijate hindamine on muuseas eraldi samm teadlikkusekohustuses, eraldi juurdepääsukontrollimisest.
Salasõnad ja jagatud kontod
Jagatud kontod on praktilised, kuid muudavad võimatuks näha hiljem, kes midagi tegi. Seal, kus see võimalik on, on konod isiku kaupa samm, millest küsimustikud lähtuvad. Seal, kus see vanematel masinatel tehislikult võimalik ei ole, on vastus sageli, et ümber on muud meetmed, näiteks piiratud arv inimesi füüsilise juurdepääsuga juhtpaneelile. Küsimustik küsib harva täiuslikkust, kuid põhjendatud vastust.
Mida dokumenteerite, mitte ainult mida reguleerite
Erinevus "see on korrastatud" ja "see on dokumenteeritud" seisneb registreerimisel: ajakohaline konto ja õiguste loend, aeg, millal see loend kontrolliti, ja nimi, kes vastutab selle ajakohasena hoidmise eest. Just siin näitab elav dossier oma väärtust, sest see näitab iga meetme kohta staatust, dokumenti ja omanikku Wordi loetamisega teksti asemel, mida keegi enam ei uuenda.
Kuidas see suuremasse pildisse sobib
Juurdepääsu kontroll seisab harva küsimustikus omaette. Seda kombineeritakse tavaliselt küsimustega varukoopiate, mitmeastmelise autentimise ja juhtumite korral toimuva kohta. Kes veel ei tea, kas nende organisatsioon seoses kliendi kaudu Direktiiviga (EU) 2022/2555 kokku puutub, algab tavaliselt sektorist ja ahelisse kuulumise rollist, mitte üksikutest ennetusmeetmetest.
Mõne küsimusega, mis näitavad, kus teie ettevõte asub, saate esimese hinnangu, ja teadusbaas teemade kaupa leiate teised meetmed, mis nendes küsimustikes korduvad. Kuidas me jälgime allikaid nagu direktiivi ja riiklikku seadusandlust, leiate meie töömeetodite lehele. Kui teil on kahtlusi, milline küsimus täpselt teie olukorrale vastab, vaadake ka kõige sagedamini esitatud küsimused.
NIS2-kontroll ja teadusbaas on tasuta konsulteeritavad ilma kontota. Kui soovite edasi minna, näiteks võtta kasutusele ülevaate iga meetme kohta staatuse ja vastutava isikuga, siis see kuulub dossieega ärilise telimuse taha.