Pääsynhallinta tarkoittaa, että voit osoittaa, kuka saa käyttää mitä järjestelmiä, tiloja tai tietoja, ja että pääsy poistetaan heti, kun joku ei enää sitä tarvitse. Asennusliikkeelle tämä menee pidemmälle kuin pelkästään toimiston salasanakäytäntö: se koskee myös asiakkaan tilojen avaimia, pääsyä teknisiin tiloihin olevien merkkien avulla ja etäpääsyä rakennuksen hallintajärjestelmiin, joita asentajasi ylläpitävät.
Syy siihen, että tämä aihe palaa jatkuvasti turvallisuuskyselyihin, on yksinkertainen: asentaja, joka voi kirjautua lämmitysohjaimeen ilman salasanaa, tai entinen työntekijä, joka voi edelleen avaimella päästä palvelintilaan, on juuri sellainen riski, jota toimeksiantajan huolenpitovelvollisuuden on oltava tietoinen. Jos vastaat tähän kysymykseen olankohautuksella, menetät sopimuksen nopeammin kuin jos osaat antaa lyhyen ja rehellisen vastauksen.
Kahdenlaista pääsyä, yksi rekisteri
Asennusliikkeessä kaksi maailmaa sekoittuu. Toisaalta pääsy omiin järjestelmiin: hallintoon, aikataulutussoftwareen, sähköpostiin. Toisaalta fyysinen ja digitaalinen pääsy asiakkaalla: avaimet, hälytyksen koodit, VPN-yhteydet rakennuksenhallintajärjestelmään, kirjautumistunnukset etäkäytössä olevaan ilmastoinnin säätöjärjestelmään.
Molemmat kuuluvat samaan kysymykseen: kuka saa päästä sinne ja miksi. Elävä rekisteri, jossa järjestelmittäin tai avainipakeittain näkyy, kuka pääsyä saa, milloin se on myönnetty ja kuka sen hyväksynyt, riittää useimmille asennusliikkeille vastaamaan tähän kysymykseen. Sen ei tarvitse olla monimutkainen järjestelmä; oikea ja esitettävissä oleva yleiskatsaus pääsee pidemmälle kuin kattava käytäntö, jota kukaan ei noudata.
Avaimet ja badget: pääsynhallinnan unohtuneet osat
Monet asennusliikkeet ajattelevat pääsynhallinnasta heti kirjautumistietoja ja unohtavat fyysisen puolen. Asiakkaan paikkojen avainipaketteja, pääsymerkkejä teknisiin tiloihin ja hälytysjärjestelmien koodeja on pääsy yhtä lailla kuin salasana, ja niistä tulee pitää huoli yhtä tarkasti: kirjata ylös, kuka millä avaimella, milloin se on myönnetty, ja sopia aika, jolloin se vaaditaan takaisin tai poistetaan.
Tämä tulee usein näkyviin vasta ongelman sattuessa: asentaja, joka lähtee pois mutta hänen autossaan on kolmen asiakkaan avainipaketti, tai alihankkija, joka projektin päätyttyä voi vielä kirjautua hallinnon tilille. Asiakas, joka kysyy sinulta tätä turvallisuuskyselyn kautta, haluaa tietää, poistatko sinä tämän kaltaiset tilanteet säännöllisesti, ei sitä, onko koskaan mitään mennyt pieleen.
Etäpääsy asiakkaan järjestelmiin
Asennusliikkeet, jotka valvovat etäältä tai puuttuvat asiakkaan järjestelmiin, esimerkiksi ilmastoinnin tai energianhallintajärjestelmän häiriöiden diagnosointia varten, tarvitsevat usein oman pääsyreitin: VPN:n, etätyöpöytäyhteyden tai toimittajan oman alustan. Tämä pääsyreitti on juuri sellainen yhteys, jota huolenpitovelvollisuuden omaava toimeksiantaja kysyy, koska heikko kohta sinussa voi suoraan muuttua riskiksi heidän kohdallaan.
Kysymykset, joita täällä usein esiin tulevat, koskevat kahden tunnisteen käyttöä tälle etäpääsylle, sitä, kuka tileja hallinnoi, ja sitä, mitä tapahtuu, jos pääsyn omaava kannettava tietokone varastetaan. Sinun ei tarvitse antaa yksityiskohtaista teknistä vastausta jokaiseen kysymykseen; sinun on kuitenkin tiedettävä, kuka organisaatiossasi myöntää tämän kaltaisen pääsyn ja poistaa sen, ja että se on kirjattu jonnekkin.
Mistä tämä muistuttaa kokonaisuudessa
Käytönnöllinen pääsy on yksi niistä toimenpiteistä, jotka kuuluvat huolellisuusvelvollisuuden piiriin, ja että huolellisuusvelvollisuus koskee asennus-yrityksiä useimmiten ei siksi, että ne itse kuuluisivat lain piiriin, vaan koska tilaaja, joka on lain piiriin kuuluva, kysyy sitä heiltä. Jos ei vielä tiedä, onko tämä oman tilanteen kannalta olennaista, voi sen nähdä muutamassa kysymyksessä. Jos olet jo saanut kysymyksen ja haluat tietää, miten käytönnöllinen pääsy liittyy muihin yhdeksään toimenpiteeseen, löydät täydellisen yleiskatsauksen aiheittain käsiteltynä.
Alustan, kuten secria.eu:n toimittajalla ei ole oikeutta määrittää, mitä pidät riittävänä omassa tapauksessasi; se jää aina arvioinniksi, jonka teet itse tai tarvittaessa juristin tai asianomaisen valvontaviranomaisen kanssa. Mitä voidaan tehdä: pitää ajan tasalla olevaa ja ehrillista luetteloa siitä, kuka pääsee mihin, niin että tietoturvan tarkistuslista ei ole enää yllätys vaan lomake, jonka voit täyttää muutamassa minuutissa. Lisätietoja siitä, miten tällaista luetteloa rakennetaan käytännössä, löytyy sivulta, joka näyttää mistä tiedot dossieessa tulevat.
Haluatko ensin nähdä, onko tämä aihe merkityksellinen organisaatiollesi ja mitä dossieri siihen sisältää? Tee ilmainen quick-scan tai selaa aiheita; molemmat ovat saatavilla ilman tiliä ja antavat välittömiä vastauksia.