Pääsynhallinta tarkoittaa sitä, että määrität kuka saa käyttää mitä järjestelmiä, millä käyttäjätilillä, ja että pääsy poistetaan heti, kun joku vaihtaa tehtävää tai lähtee yrityksestä. Metalli- ja valmistusteollisuudessa kyse ei ole vain kannettavista tietokoneista ja sähköpostista, vaan myös koneista, PLC-laitteista ja tuotantolinjoista, jotka nykyään on kytketty samaan verkkoon kuin hallintojärjestelmät. Juuri tämä raja IT:n ja tuotannon välillä on se paikka, josta tietoturvakyselyt usein kysyvät pidemmälle.
Kysymys ilmaantuu melkein jokaisessa kyselylomakkeessa, koska pääsynhallinta on yksi kymmenen toimenpiteestä, jota NIS2-direktiivin (artikla 21) mukainen huolintavelvoite velvoittaa noudattamaan, ja vastuussa olevat organisaatiot välittävät tämän vaatimuksen edelleen sopimuskautta pitkin alihankkijoilleen. Konetehdas tai toimitusketjun toimittaja, joka ei itse kuulu NIS2:n piiriin, saa siis tämän kysymyksen joka tapauksessa, koska asiakas hänen on voitava vastata siihen.
Ero toimiston ja tuotantohallin välillä
Toimistolla pääsynhallinta on yleensä otettu käyttöön: yksi käyttäjätili per työntekijä, salasana, mahdollisesti jo kaksivaiheinen kirjautuminen. Tuotantohallissa tilanne on usein erilainen. Koneet voivat kulkea vuosia yhdellä jaetulla käyttäjätilillä, tekniikalla salasanalla, jonka kaikki tuntevat, tai toimittajan asetuksella, jota ei ole koskaan muutettu. Se ei ole pahansuopa, se on syntynyt kunnossapidon ja vikojen korjaamisen käytännöistä. Valvontaviranomaiset ja asiakkaat eivät katso historiaa, vaan nykytilannetta: onko olemassa yleiskatsaus siitä, kuka pääsee mihin, ja onko se tieto ajan tasalla.
Kuka pääsee mihin
Hyödyllinen yleiskatsaus vastaa kolmeen kysymykseen jokaista järjestelmää kohti: kenellä on käyttäjätili, mitä hän sillä voi tehdä, ja onko se vielä tarpeellista. Tuotantojärjestelmien osalta se tarkoittaa muun muassa eroa tietojen katsomisen (tilan lukeminen), käytön (linjan käynnistäminen tai pysäyttäminen) ja ohjelmoimisen (asetusten tai ohjausohjelmiston muuttaminen) välillä. Kaikki, jotka käyttävät konetta, eivät tarvitse muuttaa asetuksia, eivätkä kaikki, jotka saivat joskus pääsyn projektia varten, tarvitse sitä enää.
Ulkopuoliset asentajat ja etähuolto
Monet tuotantojärjestelmät huolletaan etäyhteyden kautta koneen toimittajan toimesta. Se on toimivaa, mutta se on myös pääsyreitti, joka tulee dokumentoida: kuka toimittajasta voi kirjautua sisään, mitä kautta, ja onko yhteys avoinna vain huollon aikana vai jatkuvasti. Asiakkaat kysyvät tästä usein nimenomaan, koska avoin yhteys kolmanteen osapuoleen on yksi tunnetuimmista tavoista, joilla yhden yrityksen poikkeama voi vaikuttaa toiseen. Näiden toimittajien arviointi on muuten erillinen vaihe huolintavelvoitteesta, erillään pääsynhallinnasta.
Salasanat ja jaetut käyttäjätilit
Jaetut tilit ovat käytännöllisiä, mutta tekevät mahdottomaksi nähdä jälkikäteen, kuka teki mitä. Kun se on mahdollista, yksi tili per henkilö on se askel, jonka kyselyt ottavat lähtökohdaksi. Kun se vanhemmilla koneilla teknisesti ei ole mahdollista, vastaus on usein se, että muita toimenpiteitä on otettu käyttöön, kuten rajoitettu fyysinen pääsy ohjauspaneelille. Kyselyt harvoin vaativat täydellisyyttä, mutta ne vaativat perustelun.
Mitä dokumentoit, ei vain mitä järjestelet
Ero "se on järjestelty" ja "se on todennettavissa" on dokumentoinnissa: ajankohtainen käyttäjätilien ja oikeuksien luettelo, ajankohta, jolloin luettelo tarkistettiin, ja nimi siitä, kuka vastaa sen päivittämisestä. Juuri siinä elävä dossier osoittaa arvonsa, koska se näyttää jokaista toimenpidettä kohti tilan, todistusasiakirjan ja vastuuhenkilön sen sijaan, että se olisi löysä Word-teksti, jota kukaan ei enää päivitä.
Missä tämä sopii isompaan kokonaisuuteen
Pääsynvalvonta harvoin seisoo omilla jaloillaan kyselylomakkeessa. Se yhdistetään yleensä kysymyksiin varmuuskopioista, monivaiheisesta todentamisesta ja siitä, mitä tapahtuu, kun turvapoikkeama ilmenee. Organisaatiot, jotka eivät vielä tiedä, joutuko niiden yritys asiakkaan kautta Direktiivin (EU) 2022/2555 soveltamisalan piiriin, aloittavat tavallisesti alasta ja asemasta toimitusketjussa, ei yksittäisistä riskienhallintatoimista.
Muutaman kysymyksen avulla, jotka osoittavat, missä yrityksenne on tällä hetkellä saatte ensimmäisen osoituksen, ja tietokanta aiheittain löydätte muut toimenpiteet, jotka esiintyvät samoissa kyselyissä. Kuinka seuraamme lähteitä, kuten direktiiviä ja kansallista lainsäädäntöä, voitte lukea osoitteesta sivulla, joka käsittelee toimintatapojamme. Jos epäröitte, mihin kysymykseen teidän tilanteenne tarkalleen liittyy, katselaalle myös kohdassa usein kysytyt kysymykset.
NIS2-tarkistus ja tietokanssa ovat ilmaisesti saatavilla ilman tiliä. Jos haluatte jatkaa, esimerkiksi ylläpitää luetteloa kustakin toimenpiteestä sen tilan ja omistajan kanssa, se kuuluu asiakirjatiedostoon, joka on saatavilla liiketoimintatilauksella.