Incident u instalaterskoj branši nije uvijek hakiran laptop. Jednako često je riječ o montera koji se prijavljuje s pogrešnim računom na sustav upravljanja zgradama klijenta, spremištu ključeva koje nije pravilno zaključano, ili koordinatoru planiranja koji klikne na phishing poveznicu nakon čega je otkrivena lozinka klijenta. Ono što zapisujete je za svaku od tih situacija u biti isto: kada je otkriveno, što se točno dogodilo, tko je bio uključen, koji pristup je bio upitan, što je poduzeto i koga su obavijestili.
Ta registracija je nešto drugo od prijave nadzornom tijelu. Interni register incidenata je tekući dnevnik koji vi sami vodite, bez obzira na to je li incident dužan biti prijavljen. Za organizacije koje same spadaju pod Direktivu NIS2, ovaj register je dio dužnosti brige iz članka 21. Za mnogo veću grupu instalaterskih tvrtki koje nisu same obavezne, ali se kao dobavljač ocjenjuju, register je često upravo ono što traži upitnik o sigurnosti od naručitelja: možete li pokazati da prepoznajete incidente, bilježite ih i pratite? Jesu li vi sami obavezni po zakonu ili vas samo lanac vrijednosti dotakne, možete provjeriti s nekoliko pitanja koja pokazuju vašu poziciju u lancu vrijednosti.
Što spada u register
Upotrebljiv register incidenata sadrži po događaju datum i vrijeme otkrivanja, kratko opisana opažanja ili prijavljena ponašanja, i ime osobe koja je primjetila ili prijavila incident. Osim toga, bilježite koji je sustav, lokacija ili klijent pogođen, i koji je pristup bio uključen: zajednička lozinka, fizički ključ, propusnica, VPN veza na mrežu klijenta. Dalje zapisujete što je poduzeto, tko je za to odgovoran, i je li i kada su klijent ili vaša organizacija obaviješteni. Na kraju red o završetku: je li incident razriješen, i je li se nešto promijenilo kao posljedica.
Taj se zadnji red često preskaće, međutim nadzorna tijela i naručitelji upravo njega razmatraju. Register koji samo broji prijave, govori malo. Register u kojem se vidi da se povratni problem pretvorio u promjenu načina rada, pokazuje da organizacija uči iz iskustva.
Specifična situacija montažnih radnika na mjestu usluge
Ono što razlikuje instalatersku branšu od primjerice softverske tvrtke je što pristup rijetko biva samo digitalan. Monter koji mora doći do klijenta, često ima i fizički ključ ili propusnicu i digitalni račun za sustav upravljanja zgradama, alarma ili klimatizacije. Incident može nastati jer ključ bude izgubljen, jer račun bivšeg zaposlenika nije opozvana, ili jer je laptop s pohranjenima podacima za prijavu ukraden iz vozila. U registru ta razlika nije bitna: svaki put ide za istim pitanjem, naime, tko je i kada imao pristup i je li to još bilo opravdano.
To izravno dodiruje upravljanje pristupom: tko smije pristupiti kojim sustavima i ključevima, i je li taj pregled trenutno ažuran. Register incidenata bez stalne evidencije pristupa teško je dovršiti u potpunosti, jer morate pri svakom incidentu nanovo istraživati tko je gdje smio biti. Stalna evidencija mjera, statusa i odgovornika, kao što je vodi cyber-dossier, čini taj postupak nepotrebnim.
Nije svaki slučaj potrebno tretirati na isti način
Materijalni utjecaj ima značaj i ovdje: izgubljeni papir s lozinkom koji je odmah primijenjen i promijenjen ima drugačiju težinu od neovlaštenog pristupa sustavu klijenta koji se otkriva tek nakon tjedana. Direktiva i nacionalne propise razlikuju ozbiljne incidents od manjih slučajeva, a nadzorne vlasti pritom gledaju utjecaj na pružanje usluga i na klijenta. Stalni dio vaše vlastite procjene je dakle: pogađa li ovaj incident samo vaš vlastiti poslovni rad, ili i sustave ili podatke klijenta. U potonjem slučaju obaveza informiranja tog klijenta dolazi brzo u obzir, neovisno od pitanja postoji li i zakonska obaveza prijave.
Koje točno rokove i pragove pri tom vrijede razlikuje se od situacije do situacije i od zemlje u kojoj djelujete. Za točan tekst i mjesto pronalaska upućujemo na službene izvore, a za vašu vlastitu situaciju na pravnika ili nadleznu nadzornu vlast. Pregled kako održavamo izvore i odakle dolaze nalazi se na stranici gdje se objašnjava naša radna metoda.
Što to znači u praksi
Instalacijska tvrtka koja može pokazati kako bilježi i prati incidents daje naručitelju nešto konkretno u ruke pri odgovoru na popis pitanja vezanih uz sigurnost, i sama ima priručnik za slučaj da se dogodi ponovno. Tko još nema jasnoga oblika za ovaj registar nalazi početnu točku i odgovarajuće objašnjenje kod pregledu tema po situaciji, a često postavljana pitanja što pripada ili ne pripada u takav registar sabrana su na stranici sa odgovorima na ponavljajuća pitanja.
Počnite po želji s besplatnom brzom provjerom: u nekoliko pitanja vidite je li vaša organizacija sama pod zakonom, dotaknuta lancem opskrbe, ili nijedno od toga, s objašnjenjem za svaki rezultat.