Poikkeamien rekisteröinti metalli- ja valmistustuotannossa kuvaa vähintään neljä asiaa: mitä tapahtui, mitkä järjestelmät vaikuttuivat, kuka ryhtyi toimenpiteisiin ja milloin tilanne oli hallinnassa. Se kuulostaa yksinkertaiselta, mutta tuotantoympäristössä siihen tulee lisäkerroksella: hallinnollisen tietotekniikan ohella tässä käy rinnakkain koneiden ohjausjärjestelmät, CNC-laitteet ja tuotantolinjan ohjaukset, jotka sijaitsevat usein samassa verkossa kuin hallinnollisen tietotekniikan laitteet.
Joka joutuu NIS2-huolellisuusvelvollisuuden piiriin tai jota tilaaja pyytää osoittamaan, miten poikkeamat käsitellään, ei voi tyytyä pelkkään Excel-taulukkoon, joka seuraa vain IT-häiriöitä. Tuotantokatkos salakooditun palvelimen vuoksi, ohjauskaappi, joka ei enää vastaa, tai toimittaja, joka kirjautuu etäyhteydellä koneen käyttöjärjestelmään ja avaa vahingossa pääsyn: kaikki nämä tapahtumat kuuluvat samaan rekisteröintiin, vaikka syy ei olisikaan heti selvä.
Miksi tämä on enemmän kuin helpdeskin lipuke
Poikkeamien rekisteröinti on yksi toimenpiteistä, jotka johtuvat NIS2-direktiivin huolellisuusvelvollisuudesta organisaatioille, jotka ovat itse välttämättömiä tai tärkeitä. Yrityksille, joihin vaikutetaan tilaajan kautta, se on jo tavallinen kysymys kyselylomakkeessa: kuinka dokumentoitte tapahtuneet asiat, ja voitteko näyttää sen. Yhteenveto siitä, miten tämä toimenpide liittyy muihin huolellisuusvelvollisuuden velvoitteisiin, löytyy kaikkien aiheiden yleiskatsauksesta, joissa jokaiselle teemalle on lyhyt vastaus ja viite viralliseen tekstiin.
Ero yrityksen välillä, jolla tämä on kunnossa, ja yrityksen välillä, jolla se ei ole, on harvoin teknisesti kyse. Kyse on siitä, että dokumentoidaan asiat silloin kun ne tapahtuvat, eikä siitä, että yritetään jälkikäteen rekonstruoida, mitä tarkalleen tapahtui.
Tuotantojärjestelmät vaativat toisenlaista näkökulmaa
Hallinnollisen tietotekniikan poikkeama on suhteellisen selkeä: kannettava tietokone, sähköpostikansio, jaettu levy. Metalli- ja valmistustuotannossa tuotantojärjestelmät käyvät usein vuosia ilman, että ketään kiinnostaa, kun koneen toimittajalla, huoltoyrityksellä tai tekniikan palvelun tarjoajalla on pääsy etäyhteydellä. Tämä tekee sekä häiriön että turvallisuuspoikkeaman erottamisesta joskus vaikeaa juuri silloin: seisoo linja kuluessa, virheellisen päivityksen vuoksi vai koska joku luvaton on päässyt sisään.
Juuri tästä syystä on hyödyllistä, että rekisteröinnissa on oma kenttä järjestelmätyypille: hallinnollinen tietotekniikka, tuotantojärjestelmä, joka on liitetty yrityksen verkkoon, vai järjestelmä, jota kolmas osapuoli hallinnoi etäyhteydellä. Tämä luokittelu auttaa paitsi jälkikäteisanalyysissä, myös vastaamaan kysymykseen, jonka tilaaja usein esittää: kuinka eristetty tuotantoympäristönne on hallinnollisen tietotekniikan järjestelmistä.
Mitä rekisteröintiin vähintään kuuluu
Hyödyllinen rekisteröinti kuvaa hetken, jolloin poikkeama huomattiin ja kuka sen huomasi, lyhyen kuvauksen siitä, mikä havaittiin, mitkä järjestelmät tai tuotantolinjan ohjaukset olivat todella vaikuttuneet, mitä toimenpiteitä tehtiin vahingon rajoittamiseksi, ja hetken, jolloin normaali tilanne palautui. Siihen kuuluu myös lyhyt johtopäätös: oliko kyseessä turvallisuuspoikkeama, tekninen häiriö vai jäi syy epäselväksi. Tuo viimeinen ryhmä saa hyvin olla olemassa; poikkeama ei aina selity päivän kuluessa, ja rehellinen rekisteröinti sanoo sen näin.
Ero dokumentoinnin ja ilmoittamisen välillä
Kirjaaminen on jotain muuta kuin ilmoittaminen. Organisaatiot, jotka ovat itse ensisijaisen tai tärkeän toimialan toimijoita NIS2-direktiivin mukaisesti, joutuvat ilmoittamaan valvontaviranomaiselleen noudattaen laissa määritettyjä määräaikoja. Tarkoista määräajoista ja ilmoittamisen tavasta viittaamme viralliseen tekstiin ja oman maanne valvontaviranomaiseen; tämä on tietoisesti arvio, jota emme täällä tee. Jotka joutuvat toimitusketjun kautta vaikutuksiin, eivät yleensä saa lakisääteistä ilmoitusvelvollisuutta, mutta usein heillä on sopimukseen perustuva velvoite ilmoittaa tilaajalle poikkeamista sovitussa määräajassa. Hyvä kirjaaminen on molemmissa tapauksissa lähtökohta: ilman kirjaamista ei ole mitään, johon voisi nojautua, kun joku pyytää selvitystä.
Kuka tätä yrityksessänne hoitaa
Monissa asennus- ja valmistusyrityksissä tuotantojärjestelmien vastuu kuuluu tuotantojohdolle, kun taas IT-vastaava keskittyy pääasiassa toimistokoneiden hallintaan. Tämä tekee tärkeäksi määrittää etukäteen, kuka vastaa poikkeamakirjauksesta kokonaisuutena ja kehen otetaan yhteyttä ensimmäisenä konkreettisen poikkeaman sattuessa. Kirjaaminen, jota pidetään kahdessa erillisessä järjestelmässä, yhdessä IT:n ja yhdessä tuotannon osalta, aiheuttaa ratkaisevalla hetkellä ennen kaikkea viiveitä.
Mitä secria tekee ja mitä ei tee puolestanne
Secria auttaa dossiepohjaisuuden luomisessa, jossa tälle kirjaukselle on kiinteä paikka, tila, todiste ja omistaja toimenpidettä kohden, ja valmiiksi laadittuja tekstejä tilanteissa, joissa ilmoitus on tarpeen. Mitä emme tee, on poikkeaman itsensä ratkaiseminen: ei poikkeamanhallintaa, ei SOC:ia, ei oikeustutkintaa. Se jää erikoistuneiden osapuolten ihmistyöksi, ja valmistamme prosessin niin, että kun siihen tulee, ette aloita nollasta. Lisätietoja siitä, mistä saamme tietomme ja mitä lähteitä käytämme, luet sivulla, jolla kerrotaan, miten se toimii. Mitä dossiepohjaisuus ja mallipohjat maksavat, näet hintasivulla.
Haluatko ensin tietää, soveltavatko säännöt yrityksessänne ja kuinka, oletko ensisijainen tai tärkeä toimija vai toimitusketjuun vaikuttunut toimittaja? Tee ilmainen NIS2-tarkistus ja näe muutamassa kysymyksessä missä seisottai jatka lukemista tietovarastossa saadaksesi lisätaustaa tähän aiheeseen.