Metalli- ja valmistusalan tilaajan kyselylomake käsittelee lähes aina samaa aihetta: kuinka tuotantoympäristö on suojattu, ja mitä tapahtuu, jos ympäristö joutuu häiriön tai hyökkäyksen kohteeksi. Tämä ei ole sattuma. Koneet, ohjausjärjestelmät ja mittauslaitteet on yhä useammin kytketty samaan verkkoon kuin toimistojärjestelmät, ja erityisesti tämä yhteys tuotannon ja tietotekniikan välillä kiinnostaa tilaajaa.
Kysymykset vaihtelevat asiakkaittain, mutta kategoriat ovat huomattavan johdonmukaisia: mitkä järjestelmät olette kartoittaneet, onko tuotantoverkko erillään toimistoverkosta, miten käsittelette vanhentuneet koneet, kuka voi käyttää etäyhteyttä huoltoihin, ja mitä teette, jos tuotantolinja pysähtyy häiriön vuoksi. Jos tunnistatte nämä kategoriat, kyselylomake ei ole yllätys.
Miksi tuotantoympäristö on keskiössä
Metallinkäsittelylaitos tai konepaja toimii usein vuosia tai vuosikymmeniä kestävällä laitteella: CNC-koneet, PLC:t, SCADA-järjestelmät. Nämä laitteet harvoin suunniteltiin internetyhteyttä silmällä pitäen, mutta käytännössä ne kytketään verkkoon, esimerkiksi etävalvontaa varten tai tuotantotietojen välittämiseksi. Tilaaja, joka itse kuuluu NIS2-direktiivin velvollisuusalaisuuden piiriin, on arvioitava, mitkä riskit sen toimittajat tuovat mukanaan. Tuotantoympäristö, joka on verkkoon kytketty ilman selkeää erottamista muusta infrastruktuurista, on siinä ilmeinen huolenaihe.
Tämä selittää, miksi kyselylomakkeet tässä sektorissa useammin kuin muualla kysyvät IT:n (toimistoympäristö) ja OT:n (operatiivinen tekniikka, tuotantojärjestelmät) erottelusta. Yleinen kysymys kuten "onko sinulla tietoturvan hallintatapa" täydentyvät metalli- ja valmistusalalla lähes aina tarkemmalla: "onko tuotantoverkko loogisesti tai fyysisesti erillään toimistoverkostasi".
Kysymykset, jotka lähes aina toistuvat
Alan toimittajille lähetetyissä kyselylomakkeissa muutama aihe toistuu huomattavan usein. Ensinnäkin yleiskuva: onko sinulla ajantasainen luettelo kaikista tuotantoympäristöön liitetyistä järjestelmistä, mukaan lukien valmistajan enää tukemattomista koneista. Seuraavaksi verkon erottaminen ja kysymys, onko olemassa erillistä segmenttiä järjestelmille, joita ei voi enää korjata.
Kolmas toistuva osuus käsittelee etäyhteyttä: mitkä toimittajat tai huoltoteknikot voivat kirjautua etänä koneisiisi, ja kuinka tämä pääsy on suojattu ja kirjattu. Neljäs osuus käsittelee jatkuvuutta: mitä tapahtuu, jos tuotantolinja pysähtyy teknisen ongelman tai hyökkäyksen vuoksi, ja kuinka nopeasti voit jatkaa. Lopuksi tilaaja usein kysyy poikkeamien rekisteröinnistä: dokumentoitko, kun tuotantoympäristössa menee pieleen, ja kuka organisaatiossasi saa tietää.
Jos haluat tarkistaa, saako oma organisaatio ketjun kautta tällaisia kysymyksiä ja mihin kategoriaan se kuuluu, löydät muutaman kysymyksen, jotka antavat muutamassa minuutissa ensimmäisen viitteen lähtöpisteen tälle selitykselle.
Vanhat koneet eivät ole aina helppo vastattava.
Monille tämän sektorin yrityksille vaikein kysymys ei ole kysymys itsessään, vaan vastaus siihen. Viisitoistavuotias kone toimii usein ohjelmistolla, jota ei enää päivitetä, ja vaihto on kallis. Kysymyslomake ei välttämättä vaadi koneen vaihtamista, vaan pyytää näyttämään, että tietävät riskin sijainnin ja mitä toimenpiteitä olette sen ympärillä toteuttaneet — esimerkiksi sijoittamalla laitteen erilliseen verkkosegmenttiin ilman suoraa internetyhteyttä.
Tämä ero — "riskin poistamisen" ja "riskin tuntemisen ja hallinnan" välillä — on juuri se, mitä tilaaja yleensä etsii. Itse direktiivi ja siitä johdetut kansalliset lait, kuten Kyberturvallisuuslaki, kuvaavat tämäntyyppisiä riskienhallintatoimenpiteitä yleisesti; valvontaviranomainen julkaisee lisäksi käytännön selityksiä. Yhteenveto siitä, mitä nämä käsitteet tarkalleen tarkoittavat, on aiheissa, jotka on avattu kunkin tilanteen mukaan.
Etäyhteydet erillisenä huomionkohteena
Etähuolto on metalli- ja valmistusteollisuudessa usein välttämätöntä: koneen toimittajan on joskus pystyttävä seuraamaan vianetsintää etäällä. Kysymyslomakkeet kiinnittävät tähän tarkoituksellisesti huomiota, koska tämä on yksi yleisimmistä tavoista, joilla yhden osapuolen ongelma voi siirtyä toiselle. Selkeä vastaus kuvaa, kenellä on pääsy, kuinka pääsy myönnetään ja peruutetaan, sekä pidetäänkö lokia siitä, kuka milloin kirjautui.
Mitä teette vastaanottamallanne kysymyslistalla
Tilaajan kysymyslomake on ensisijaisesti pyyntö ymmärrykseksi, ei koe, jolla on kiinteä pistemäärä. Selkeä vastaus, vaikka se tarkoittaisikin, että toimenpide on vielä kehitysvaiheessa, otetaan yleensä paremmin vastaan kuin lista rasteja ilman perusteluja. Kysymyksiin siitä, mitä tilaaja tarkalleen saa kysyä ja kuinka pitkälle kysymys voi mennä, on suositeltavaa tutustua valvontaviranomaisen julkaisuihin tai käyttää asianajajaa; secria.eu valmisttelee vastauksia ja asiakirjoja, mutta ei koskaan ilmoita tai rekisteröi asiakkaan puolesta.
Lisätietoja siitä, kuinka nämä tiedot on koottu ja mitä lähteitä siinä on käytetty, on sivulla, joka näyttää mistä tiedot tulevat. Vastauksia usein kysyttyihin kysymyksiin kysymyslistoista ja toimittajien roolista löytyy usein kysyttyjen kysymysten kokoelmasta.
Haluatteko tietää, saako yrityksenne ketjun kautta tämäntyyppisiä kysymyslomakkeita, vai etsittekö selitystä tietystä käsitteestä jo vastaanottamastanne kysymyslistasta? Ilmainen pikakartoitus ja tietovaranto antavat puolessa tunnissa ensimmäisen kuvan ilman, että tarvitsette tunnusta.