Egy telepítési cég biztonsági kérdőíve szinte mindig egy alapvető kérdés körül forog: ki fér hozzá az ügyfél épületéhez és rendszereihez, és hogyan kezelik ezt a hozzáférést. A telepítési cégek az ügyfél helyén dolgoznak, gyakran vannak kulcsaik vagy azonosítóikártyáik, és berendezéseket csatlakoztatnak az épületirányítási rendszerekhez, klímarendszerekhez vagy riasztási rendszerekhez, amelyeket néha távolról is kezelnek. Pontosan ezeken a helyeken fordulnak elő az ebben a szektorban visszatérően felmerülő kérdések.
A kérdőív általában nem azért érkezik, mert maga a telepítési cég a (EU) 2022/2555 irányelv hatálya alá esik, hanem azért, mert az ügyfél esik alá. Az ügyfél — egy kórház, egy energiacég, egy vízgazdálkodási társulat, egy nagy ingatlankézkelő — olyan gondossági kötelezettséggel rendelkezik, amely kötelezi őt szállítóinak értékelésére. Egy olyan telepítési cég, amely hozzáférésű egy ilyen szervezet épületeihez vagy rendszereihez, ily módon az ellátási láncban érinti, még ha maga nem is esik az egyébként hatálya alá.
Miért kapja ezt a szektor gyakrabban
A telepítési cégek gyakran pont azt az infrastruktúrát karbantartják, amely az ügyfél számára kritikus: fűtés, szellőztetés, elektromosság, tűzjelző-berendezések, hozzáférés-ellenőrzés. Ezek a rendszerek egyre gyakrabban csatlakoznak egy hálózathoz, és néha a telepítési cég az egyetlen olyan fél, amely távolról tud bejelentkezni a hibák elhárítása érdekében. Az ügyfél számára az oka annak, hogy tudni szeretné, hogyan van ez a hozzáférés védve. Hogy egy adott cég az irányelv hatálya alá esik vagy csak az ellátási láncban érinti, az néhány kérdéssel meghatározható.
Az épülethez való hozzáférés: mit kérdeznek
A fizikai rész általában arról szól, hogy hogyan adják ki és veszik vissza a kulcsokat, azonosítókat és riasztási kódokat. A visszatérő kérdések: kik a vállalaton belül rendelkeznek hozzáféréssel az ügyfél helyeihez, mennyire gyorsan letiltanak egy azonosítót, ha egy szerelő kilép a vállalatból, és van-e rálátás arra, hogy ki hol fér hozzá. Rendszeresen azt is kérdezik, hogy az alvállalkozók önálló hozzáférést kapnak-e, vagy mindig felügyelettel dolgoznak.
Hozzáférés a helyszíni rendszerekhez: mit kérdeznek
A digitális rész a kérdéseket arra irányítja, hogyan vannak védve a berendezések és a csatlakozások a helyszínen. Elképzelhető kérdések: egy személyes fiók vagy megosztott jelszó használatával történik-e a bejelentkezés, használnak-e többtényezős ellenőrzést egy épületirányítási rendszer távolról történő kezelésekor, és hogyan vonják vissza a hozzáférést, ha egy projekt befejeződött vagy egy munkavállaló távozik. A helyszínen csatlakoztatott saját berendezések — egy szerelő laptopja vagy tablettje — szintén rendszeres kérdéskör: a vállalat kezeli-e ezt a berendezést, és van-e rá biztonsági szoftver.
Alvállalkozók és időszakos alkalmazottak
A telepítési munkákat gyakran részben alvállalkozók vagy bérmunkások végzik. Az ügyfelek ezért néha a telepítési cég saját ellátási lánceira kérdeznek rá: egy alvállalkozó ugyanolyan hozzáféréső eszközöket kap-e, mint a saját alkalmazottak, és van-e rálátás arra, hogy egy adott napon ténylegesen ki volt a helyszínen. Ez összhangban van azzal az általánosabb elvvel, hogy a gondossági kötelezettség nemcsak a közvetlen szállítóra néz, hanem azokra a felekre is, akiket a szállító viszont bevonz.
Mit tehet ezekkel a kérdésekkel
A kérdések maguk gyakran nem bonyolultak, de a válaszhoz szükség van valamire, ami rögzített: egy felsorolás arról, hogy kinek van hozzáférése, hogyan vonják vissza ezt a hozzáférést, és ki felelős ezért. Azok a vállalatok, amelyek ezt még nem írták le papíron, azt tapasztalják, hogy az idő nagy része arra fordítódik, hogy leírják, mi történik a gyakorlatban. A kérdéslista-típusú felsorolt tárgyak áttekintése, helyzetesenként kidolgozva, a szektorszintű tárgyak oldalántalálható. Aki tudni szeretne, hogyan készül a secria.eu információ, és mely forrásokat használnak, az azt a a munkafolyamatról szóló oldal.
oldalon olvashatja. Fontos felismerni, hogy a biztonsági kérdéslista önmagában nem jogi kötelezettség, hanem egy eszköz, amellyel az ordering party betölti saját gondossági kötelezettségét. Hogy az ordering party pontosan mit kérdehet és mit nem, az helyzettől és szerződéstől függően eltérő; a saját helyzetben ezt az ordering partnerrel vagy szükség esetén egy jogásszal érdemes megbeszélni. A biztonsági kérdéslistákkal kapcsolatos gyakran feltett kérdések, beleértve azt is, hogy egy vállalat milyen gyakran számíthat rájuk, a a gyakran feltett kérdésekről szóló oldalon.
oldalon gyűjtöttek össze. Aki szeretne látni az hozzáféréskezelésre és fizikai biztonságra vonatkozó intézkedéseket, amelyeket gyakran kérdeznek, és hogy azok hogyan viszonyulnak a saját vállalati működéshez, azt ingyenesen és account nélkül megteheti a secria.eu NIS2-check és tudásbázisán keresztül.