Egy fém- és gépiparban működő megrendelő által összeállított kérdőív szinte mindig ugyanarra a témára irányul: hogyan biztonságosított a termelési környezete, és mi történik, ha azt megzavarás vagy támadás éri. Ez nem véletlen. A gépek, operációs rendszerek és mérőeszközök egyre gyakrabban ugyanahhoz a hálózathoz csatlakoznak, mint az irodai automatizálás, és éppen ez a termelés és az IT közötti kapcsolat az, amelyre a megrendelő rákérdez.
A kérdések maguktól változnak ügyfélről ügyfélre, de a kategóriák meglepően állandóak: mely rendszereket azonosított, elkülönül-e a termelési hálózata az irodai hálózattól, hogyan kezel elavult gépeket, kinek van távoli hozzáférése a karbantartáshoz, és mit csinál, ha a termelési sor megáll egy meghibásodás miatt. Aki felismeri ezeket a kategóriákat, nem éli meg meglepetésként a kérdőívet.
Miért a termelési környezet a központ
A fémmegmunkáló vállalat vagy gépalkatrész-gyártó olyan berendezésekre támaszkodik, amelyek gyakran évtizedeken át működnek: CNC-gépek, PLC-k, SCADA-rendszerek. Ezek az eszközök ritkán az internetkapcsolattal szem előtt tervezik, azonban a gyakorlatban csatlakoztatják őket, például távoli figyelésre vagy termelési adatok továbbítására. Egy olyan megrendelő, amely maga a NIS2-irányelv gondossági kötelezettségének hatálya alá tartozik, értékelnie kell, hogy beszállítói milyen kockázatokat jelentenek. Egy olyan termelési környezet, amely a hálózathoz csatlakozik az infrastruktúra többi részétől való egyértelmű elkülönülés nélkül, ebben nyilvánvaló figyelem tárgya.
Ez magyarázza, miért kérdeznek a kérdőívek ebben a szektorban gyakrabban az IT (irodai környezet) és az OT (operációs technológia, termelési rendszerek) közötti megkülönböztetésre. Az olyan általános kérdés, hogy "van-e információbiztonságról szóló szabályzata", a fém- és gépiparban szinte mindig kiegészül egy specifikusabbmal: "fizikailag vagy logikailag elkülönül-e a termelési hálózata az irodai hálózattól".
Az újra és újra visszatérő kérdések
A beszállítók felé intézett kérdőívekben ebben a szektorban néhány téma feltűnően gyakran előfordul. Mindenekelőtt az áttekintés: van-e naprakész leltára a termelési környezetéhez csatlakoztatott összes rendszerről, beleértve azokat a gépeket is, amelyeket már nem támogat a gyártó. Ezt követi a hálózatok közötti elkülönülés, és annak kérdése, hogy létezik-e külön szegmens a már nem patchelhető rendszerekhez.
A harmadik visszatérő blokk a távoli hozzáférésről szól: mely beszállítók vagy szervizmontőrök tudnak távolról bejelentkezni a gépekre, és hogyan van biztosítva és naplózva ez a hozzáférés. A negyedik blokk a folytonossággal foglalkozik: mi történik, ha egy termelési sor technikai hiba vagy támadás miatt leáll, és milyen gyorsan folytatódhat a munka. Végül egy megrendelő gyakran rákérdez az incidens-nyilvántartásra: rögzíti-e, hogy mi megy rosszul a termelési környezetében, és szervezetén belül kinek a tudomására jut ez.
Aki azt szeretné ellenőrizni, hogy saját szervezete a láncon keresztül ilyen jellegű kérdésekkel kerül-e szembe, és melyik kategóriába tartozik, az megtalálja néhány kérdést, amely néhány perc alatt első jelzést ad a kiindulópont az adott magyarázathoz.
Az idősebb gépek nem mindig egyszerűen megválaszolhatóak
Sok vállalat számára ebben a szektorban nem maga a kérdés jelenti a legbonyolultabb kihívást, hanem a rá adandó válasz. Egy tizenöt éves gép gyakran olyan szoftvert futtat, amelyet már nem frissítenek, és a csere költséges. Egy kérdőív nem feltétlenül arra szólít fel, hogy cserélje ki a gépet, hanem hogy mutassa meg, tudja-e, hol rejlik a kockázat és milyen intézkedéseket tett annak kezelésére — például az eszközt egy külön hálózati szegmensbe helyezve, amely nem csatlakozik közvetlenül az internethez.
Ez a különbség — a "kockázat eltávolítása" és a "kockázat ismerete és kezelése" között — pontosan az, amit egy megrendelő általában keres. Maga az irányelvrendelet és az abból eredő nemzeti törvények, mint például a Kiberbiztonságról szóló törvény, az ilyen gondoskodási kötelezettségből eredő intézkedéseket általános fogalmakkal írják le; a felügyeleti hatóság emellett gyakorlati útmutatásokat tesz közzé. Az ezen fogalmak pontos jelentését bemutató áttekintés a következő helyen található: az egyes helyzetekhez kidolgozott témák.
A távolról történő hozzáférés mint különálló figyelmet érdemlő pont
Az ipari termelésben a távolról végzett karbantartás gyakran elkerülhetetlen: egy gép szállítójának néha távolról kell tudnia figyelemmel kísérni a hibát. A kérdőívek tudatosan fordítanak figyelmet erre, mivel ez az egyik leggyakoribb módja annak, hogy az egyik fél problémája átterjedhet egy másikra. Az egyértelmű válasz azt írja le, hogy ki fér hozzá, hogyan kerül megadásra és visszavonásra a hozzáférés, és hogy van-e naplózás annak nyomon követésére, hogy ki és mikor jelentkezett be.
Mit tesz egy beérkezett kérdőívvel
A megrendelő kérdőíve mindenekelőtt információkérés, és nem egy fix pontszámú vizsga. Az egyértelmű válasz, még ha azt is jelenti, hogy egy intézkedés még fejlesztés alatt áll, általában jobban fogadják, mint egy pipálások listáját indoklás nélkül. A megrendelő által feltehető kérdésekről és a kérdés határairól szóló kérdésekre vonatkozóan tanácsos a felügyeleti hatóság kiadványait tanulmányozni vagy jogi tanácsot kérni; a secria.eu előkészít válaszokat és dokumentumokat, de soha nem működik közre az ügyfél helyett a regisztrációban vagy a bejelentésben.
További háttérinformáció arról, hogyan épül fel ezek az információk, és mely forrásokból származnak, a következő oldalon található: az oldal, amely megmutatja, honnan származik az információ. A kérdőívekről és a beszállítók szerepéről szóló gyakori kérdésekre adott válaszok a következőn keresztül érhetők el: a gyakori kérdések gyűjteménye.
Szeretné tudni, hogy cége az értékláncon keresztül szembesül-e az ilyen jellegű kérdőívekkel, vagy magyarázatot keres a kérdőívben szereplő egy adott fogalmához? Az ingyenes gyorsértékelés és az információs adatbázis fél óra alatt kezdeti képet ad, ehhez nem szükséges fiók.