Upravljanje pristupom znači da odredite tko smije pristupiti kojim sustavima, s kojim računom, i da se taj pristup povuče čim se netko premjesti na drugi položaj ili ode iz poduzeća. U metalnoj i proizvodnoj industriji ne radi se samo o prijenosnim računalima i e-mailu, već i o strojevima, PLC-ima i proizvodnim linijama koji su sada na istoj mreži kao i kancelarijska automatizacija. Upravo je taj doticaj između IT-a i proizvodnje mjesto gdje sigurnosne liste pitanja često postavljaju dodatna pitanja.
Pitanje se pojavljuje u gotovo svakoj listi jer je upravljanje pristupom jedna od deset mjera koju Direktiva (EU) 2022/2555 (članak 21) očekuje od poduzeća obuhvaćenih obvezom, a ta poduzeća tu obvezu ponovno nameću svojim dobavljačima putem ugovora. Proizvodac strojeva ili dobavljač koji sam nije obuhvaćen Direktivom (EU) 2022/2555, ipak dobiva to pitanje jer ga kupac mora moći odgovoriti.
Razlika između ureda i proizvodnog pogona
U uredu je upravljanje pristupom obično uspostavljeno: jedan račun po zaposleniku, lozinka, možda već i drugi korak pri prijavi. Na proizvodnom pogonu često je drugačije. Strojevi se ponekad već godinama voze s jednim zajedničkim računom, tehničkom lozinkom koju svi znaju, ili postavkom dobavljača koja nikad nije promijenjena. To nije nema dobre volje, to je nastalo iz prakse održavanja i rješavanja kvarova. Nadzornici i kupci ne gledaju na povijest, već na trenutnu situaciju: postoji li pregled tko što može, je li taj pregled ažuran.
Tko ima pristup i točno čemu
Koristan pregled odgovara na tri pitanja po sustavu: tko ima račun, što ta osoba s njim smije raditi, je li to još potrebno. Za proizvodne sustave to znači razlikovanje između promatranja (čitanja statusa), upravljanja (pokretanja ili zaustavljanja linije) i programiranja (izmjene postavki ili softvera upravljanja). Nije svako tko upravlja strojem trebao moći prilagoditi postavke, i nije svako tko je ikad dobio pristup za projekt trebao taj pristup.
Vanjski tehnički radnici i dobavljači na daljinu
Mnogi proizvodni sustavi održavaju se na daljinu od strane dobavljača stroja. To je funkcionalno, ali je i pristupni put koji trebao biti zabilježen: tko od dobavljača može se prijaviti, preko koje veze, te je li ta veza otvorena samo tijekom održavanja ili trajno. Kupci često eksplicitno pitaju o tome, jer je otvorena veza prema trećoj strani jedan od poznatijih načina na koji incident u jednom mjestu može utjecati na drugi. Procjena tih dobavljača je inače poseban korak u obvezi, odvojen od samog upravljanja pristupom.
Lozinke i zajednički računi
Zajednički računi su praktični, ali čine nemoguće vidjeti kasnije tko je što radio. Gdje je moguće, je jedan račun po osobi korak koji liste pitanja koriste kao početak. Gdje to tehnički nije moguće na starijim strojevima, odgovor je često da postoje druge mjere, kao što je ograničen broj osoba s fizičkim pristupom upravljačkoj ploči. Lista pitanja rijetko traži savršenstvo, već razumljevan odgovor.
Ono što bilježite, ne samo ono što regulirate
Razlika između "to je uređeno" i "to se može dokazati" leži u bilježenju: trenutni popis računa i prava, trenutak kada je taj popis provjeren, i ime osobe odgovorne za održavanje. To je upravo gdje živi dosje pokazuje svoju vrijednost, jer po mjeri prikazuje status, dokaz i vlasnika umjesto samotnog Word-dokumenta koji nitko više ne ažurira.
Gdje se to uklapa u širu sliku
Kontrola pristupa se rijetko pojavljuje kao samostalna tema u listi pitanja. Obično se kombinira s pitanjima o sigurnosnim kopijama, višestrukoj verifikaciji i onome što se događa u slučaju incidenta. Organizacije koje još nisu sigurne primjenjuje li se NIS2 preko njihovog klijenta obično započinju sa sektorom i ulogom u lancu opskrbe, a ne s pojedinim mjerama.
Sa nekoliko pitanja koja pokazuju gdje se vaše poduzeće nalazi dobijate prvu naznaku, a u baza znanja po temi pronalazite ostale mjere koje se pojavljuju u istim listama pitanja. Kako vodimo izvore kao što su direktiva i nacionalna zakonodavstva čitate na stranici o našoj metodologiji. Ako niste sigurni koja pitanja točno odgovaraju vašoj situaciji, pogledajte također često postavljena pitanja.
NIS2-provjera i baza znanja su besplatno dostupni, bez računa. Ako želite nastaviti, na primjer voditi pregled po mjeri sa stanjem i vlasnikom, to je dio dossiera iza poslovne pretplate.