Upravljanje pristupom znači da možete dokazati tko smije pristupiti kojim sustavima, prostorijama ili podacima, te da se taj pristup odjavi čim ga netko više ne treba. Za instalacijsko poduzeće to ide dalje od lozinkarske politike u uredu: odnosi se i na ključeve poslovnih prostora klijenta, značke za tehničke prostorije, te daljinski pristup sustavima upravljanja zgradama koje održavaju vaši monteri.
Razlog što se ova tema kontinuirano pojavljuje u sigurnosnim upitnicima je jednostavan: monter koji se može prijaviti na kontrolu grijanja bez lozinke, ili bivši zaposlenik koji i dalje ima ključ za serversku sobu, upravo je vrsta rizika na koju mora biti oprezan opravilac sa obvezom skrbi. Tko na to pitanje odgovori plačući ramenima, brže gubi ugovor nego onaj koji može dati kratak, iskren odgovor.
Dvije vrste pristupa, jedan registar
U instalacijskom poduzeću dva se svijeta prepliću. S jedne strane postoji pristup vašim vlastitim sustavima: administraciji, softveru za planiranje, poštanskom sandučiću. S druge strane postoji fizički i digitalni pristup kod klijenta: ključevi, kodovi alarmnih sustava, VPN veze prema sustavu upravljanja zgradama, korisnički računi na kontroli klime koja se upravlja daljinski.
Oboje spada pod isto pitanje: tko smije tu, i zašto. Tekući registar u kojem je po sustavu ili po svežnju ključeva navedeno tko ima pristup, od kada, i tko je to odobrio, za većinu instalacijskih poduzeća već je dovoljno da se odgovori na ovo pitanje. Ne mora biti zamršen sustav; pregled koji je točan i koji možete pokazati vrijedi više nego opširna politika koju nitko ne poštuje.
Ključevi i značke: zaboravljeni dio upravljanja pristupom
Mnoga instalacijska poduzeća razmišljaju o upravljanju pristupom odmah misleći na vjerodajnice za prijavu, zaboravljajući fizički dio. Svežnjevi ključeva za lokacije klijenta, značke za tehničke prostorije i kodovi alarmnih sustava jednako su dobra kao i lozinka, i zaslužuju istu disciplinu: zabilježiti tko koji ključ ima, kada je izdan, i utvrditi trenutak kada se traži nazad ili opoziva.
To često postaje vidljivo tek kada pođe po zlu: monter koji ide u mirovinu ali još ima svežanj ključeva trojice klijenta u automobilu, ili podizvodač koji nakon završetka projekta i dalje može pristupiti administratorskom računu. Klijent koji vam ovo pitanje postavlja putem sigurnosnog upitnika želi prije svega znati sprječavate li se takvih situacija sustematski, nije mu važno je li se ikad nešto dogodilo.
Daljinski pristup sustavima kod klijenta
Instalacijska poduzeća koja daljinski nadziru ili miješaju se u sustave kod klijenta, primjerice za dijagnostiku kvarova na klimatizaciji ili sustavu upravljanja energijom, često trebaju svoju liniju pristupa: VPN, vezu za udaljenu površinu ili vlastitu platformu dobavljača. Ta linija pristupa upravo je ona vrsta karike na koju opravilac sa obvezom skrbi pazi, jer slaba mjesta kod vas mogu se izravno prebaciti na rizik kod njih.
Pitanja koja se ovdje često pojavljuju tiču se višefaktorske provjere na tom daljinskom pristupu, tko upravlja računima, i što se događa ako prijenosno računalo sa tim pristupom bude ukradeno. Nije potrebno da na svako pitanje imate opširan tehnički odgovor; trebate znati tko u vašoj organizaciji dodjeljuje i opoziva takav pristup, i da se to negdje zabilježi.
Gdje se ovo uklapa u veću sliku
Upravljanje pristupom je jedna od mjera koje spadaju pod obvezu pažnje, a ta obaveza pažnje obično ne pogađa instalacijska poduzeća jer sami spadaju pod zakon, već zato što naručitelj koji to čini to od njih zahtijeva. Tko još ne zna je li to relevantno za vlastitu situaciju, može to vidjeti u nekoliko pitanja. Za one koji su već dobili pitanje i žele znati kako se upravljanje pristupom odnosi na ostalih devet mjera, dostupan je potpuni pregled razrađen po temama.
Nije na dužnosti dobavljača platforme kao što je secria.eu da odredi što je u vašem specifičnom slučaju dovoljno; ta procjena ostaje kod vas ili, ako ste nesigurni, kod pravnika ili nadležnog nadzornog tijela. Ono što se može učiniti je: voditi pošten i aktuelan pregled o tome tko gdje smije pristupiti, kako bi sigurnosni upitnik više nije iznenađenje već obrazac koji možete ispuniti u nekoliko minuta. Više o tome kako se takav pregled u praksi gradi je opisano na stranici koja pokazuje odakle dolaze informacije u dossier-u.
Želite li prvo vidjeti je li ova tema relevantna za vašu organizaciju i što točno sadrži dossier za to? Napravite besplatnu brzu provjeru ili pregledajte teme; oboje se mogu konzultirati bez računa i daju odmah konkretan odgovor.