Vaaratilanne asennuspalvelun alalla ei aina tarkoita hakkeroitua kannettavaa tietokonetta. Se on yhtä usein tilanne, jossa asentaja kirjautuu asiakkaan rakennuksen hallintajärjestelmään väärällä käyttäjätilillä, avainkaappi ei ole lukittu kunnolla, tai suunnittelutyöntekijä klikkaa kalasteluviestiin ja asiakkaan salasana paljastuu. Mitä dokumentoit, on kussakin näistä tilanteista pohjimmiltaan sama: milloin se havaittiin, mitä tarkalleen tapahtui, kuka oli osallisena, mikä pääsy oli kysymyksessä, mitä toimenpiteitä tehtiin ja kenelle siitä ilmoitettiin.
Tuo dokumentointi eroaa ilmoituksesta valvontaviranomaiselle. Sisäinen vaaratilanteiden rekisteri on jatkuva kirjanpito, jonka ylläpidät itse riippumatta siitä, onko vaaratilanne ilmoitusvelvollisuuden alainen. Organisaatioille, jotka itse kuuluvat NIS2-direktiivin piiriin, tämä rekisteri kuuluu artiklan 21 mukaisten hallintomenettelyjen velvoitteisiin. Paljon suuremmalle ryhmälle asennuspalveluyrityksiä, jotka eivät itse ole velvoitteessa mutta joita arvioidaan toimittajina, rekisteri on usein juuri se, mitä asiakkaan tietoturvakyselyn avulla kysytään: pystytkö osoittamaan, että tunnistat vaaratilanteet, dokumentoit ne ja seuraat niiden käsittelyä? Riippumatta siitä, kuulutkö itse lakiin vai vaikutatko siihen vain toimitusketjun kautta, voit tarkistaa asemasi muutamalla kysymyksellä, jotka osoittavat asemasi ketjussa.
Mitä rekisteriin kuuluu
Käyttökelpoinen vaaratilanteiden rekisteri sisältää jokaisen tapauksen osalta havaitsemispäivän ja -ajan, lyhyen kuvauksen siitä, mitä havaittiin tai mitä raportoitiin, ja henkilön nimen, joka huomasi sen tai raportoi siitä. Lisäksi dokumentoit, mikä järjestelmä, mikä paikka tai mikä asiakas oli vaikutuksen alainen, ja mikä pääsy oli asiaan liittyvä: jaettu salasana, fyysinen avain, kulunvalvontakortti, VPN-yhteys asiakkaan verkkoon. Sitten dokumentoit, mitä toimenpiteitä toteutettiin, kuka oli niistä vastuussa, ja ilmoitettiin vai ei ja milloin asiakkaalle tai omaan organisaatioon. Lopuksi merkintä ratkaisusta: onko vaaratilanne ratkaistu, ja muuttuiko jokin sen seurauksena.
Tuo viimeinen merkintä usein jätetään pois, vaikka valvontaviranomaiset ja asiakkaat katsovat juuri sitä. Rekisteri, joka vain laskee ilmoitukset, kertoo vähän. Rekisteri, josta näkyy, että toistuva ongelma on johtanut muutokseen työtavoissa, osoittaa organisaation oppivan kokemuksistaan.
Monteeraajien erityisasema työmaalla
Se, mikä erottaa asennuspalvelun alan esimerkiksi ohjelmistoyritysestä, on että pääsy harvoin on vain digitaalista. Monteeraajaksi, joka käy asiakkaalla työmaalla, tarvitsee usein sekä fyysisen avaimen tai kulunvalvontakortin että digitaalisen tunnuksen rakennuksen hallintajärjestelmään, hälytysjärjestelmään tai ilmastoinnin ohjausjärjestelmään. Vaaratilanne voi siis syntyä siksi, että avain katoaa, siksi että entisen työntekijän tunnusta ei ole poistettu käytöstä, tai siksi että kannettava tietokone, jossa on tallennettuja kirjautumistietoja, varastetaan autosta. Rekisterissä tällä erotuksella ei ole niin suurta merkitystä: kyse on aina samasta asiasta, nimittäin siitä, keillä oli pääsy mihin ajankohtana ja oliko se vielä perusteltua.
Tämä koskee suoraan pääsynvalvontaa: kuka saa päästä mihin järjestelmiin ja avaimiin, ja onko se yleiskatsaus ajan tasalla. Vaaratilanteiden rekisteri ilman ajantasaista pääsynvalvontayhteenvetoa on vaikea saada täydelliseksi, koska sinun on tällöin jokaisen vaaratilanteiden tutkittava uudelleen, kenen oli pitänyt pääsy mihin. Jatkuva maatoimenpiteiden, tilojen ja omistajien yleiskatsaus, kuten kybertietoja sisältävä dossier ylläpitää, tekee tutkinnasta tarpeettoman.
Kaikki tapaukset eivät välttämättä vaadi samaa käsittelyä
Olennaisuus on myös tässä ratkaisevaa: unohdettu salasanakortiti, joka huomataan välittömästi ja vaihdetaan, on eri asia kuin luvaton pääsy asiakkaan järjestelmään, joka paljastuu vasta viikkojen kuluttua. Direktiivi ja kansalliset lainsäädäntö erottavat merkittävät poikkeamat pienemmistä tapauksista, ja valvontaviranomaiset katsovat siihen liittyviä palvelun toimittamisen ja asiakkaan kannalta aiheutuvia vaikutuksia. Oman arvioinnin kiinteä osa on siten myös: koskeeko tämä poikkeama vain omaa liiketoimintaa vai myös asiakkaan järjestelmiä tai tietoja. Jälkimmäisessä tapauksessa velvollisuus ilmoittaa asiakkaalle on lähes itsestään selvä, riippumatta siitä, onko olemassa myös lakisääteinen ilmoitusvelvollisuus.
Tarkka aika ja kynnys vaihtelevat tilanteen ja maan mukaan, jossa olette toiminnassa. Tarkka teksti ja sijainti löytyvät virallisista lähteistä, ja omaa tilannetta varten suosittelemme lakimiestä tai pätevää valvontaviranomaista. Yhteenveto siitä, miten pidämme yllä lähteitä ja mistä ne ovat peräisin, on saatavilla osoitteessa sivu, jossa työtapamme selitetään.
Mihin tämä johtaa käytännössä
Asennus- ja kuntoutumistehtävien yritys, joka voi osoittaa, kuinka se kirjaa ja seuraa poikkeamia, antaa tilaajalle konkreettisen työkalun tietoturvakyselyyn vastaamiseen ja itselleen käsikirjan sille hetkelle, kun jotain menee pieleen. Joilla ei vielä ole vakiintunutta muotoa tälle rekisterille, löytävät lähtökohdan ja siihen liittyvän selityksen osoitteesta tilanteittain olevia aiheita käsittelevästä yleiskatsauksestaja usein esitetyt kysymykset siitä, mitä tällaiseen rekisteriin kuuluu ja mitä ei, on kerätty yhteen osoitteessa sivu, jossa vastauksia toistuviin kysymyksiin.
Aloita halutessasi ilmaisella pikatutkinnalla: muutamalla kysymyksellä näette, kuuluuko organisaationne itse lain piiriin, koskeeko sitä toimitusketjun kautta vai eikö kumpaakaan, jokaisen tuloksen selityksineen.