A hozzáférés-kezelés azt jelenti, hogy igazolni tudja, ki férhet hozzá mely rendszerekhez, helyiségekhez vagy adatokhoz, és hogy a hozzáférést visszavonják, amint valaki már nem igényli azt. Egy építőcég esetében ez túlmutat a birodalom jelszókezelési szabályzatán: kapcsolódik az ügyfél épületeinek kulcsaihoz, a műszaki helyiségek jelvényeihez, valamint a távolról történő hozzáféréshez azokhoz az épületirányítási rendszerekhez, amelyeket a szerelői karbantartanak.
Az oka annak, hogy ez a téma újra és újra felbukkan a biztonsági kérdőívekben, egyszerű: egy szerelő, aki jelszó nélkül be tud lépni egy fűtésszabályzóra, vagy egy volt munkavállaló, aki még egy kulccsal hozzáférhet egy szerverszobához, pontosan az a fajta kockázat, amelyre egy megbízónak vigyáznia kell. Aki ezt a kérdést vállvonással válaszolja meg, könnyebben veszíti el a szerződést, mint aki egy rövid, őszinte választ tud adni.
Kétféle hozzáférés, egy nyilvántartás
Egy építőcégnél két világ keveredik egymással. Egyrészről a saját rendszerekhez való hozzáférés: az adminisztráció, a tervező szoftver, a postafiók. Másrészről a fizikai és digitális hozzáférés az ügyfélnél: kulcsok, riasztókódok, VPN-kapcsolatok egy épületirányítási rendszerhez, bejelentkezési fiókok egy távolról felügyelt klímaberendezéshez.
Mindkettő ugyanaz a kérdésre vonatkozik: ki férhet hozzá, és miért. Egy élő nyilvántartás, amelyben rendszerenként vagy kulcscsomagonként fel van tüntetve, hogy ki férhet hozzá, mióta, és ki hagyta jóvá azt, a legtöbb építőcég számára elegendő a kérdés megválaszolásához. Nem kell bonyolult rendszer; egy pontos, bemutatható áttekintés fontosabb, mint egy részletesen kidolgozott szabályzat, amelyet senki sem követ.
Kulcsok és jelvények: a hozzáférés-kezelés elfelejtett része
Számos építőcég a hozzáférés-kezelésre gondolva azonnal a bejelentkezési adatokra gondol, és megfeledkezik a fizikai oldalról. Az ügyfélhelyszínek kulcscsomagjai, a műszaki helyiségek jelvényei és a riasztórendszerek kódjai éppen olyan hozzáférés, mint egy jelszó, és ugyanaz a fegyelem tisztességére érdemelnek: rögzíteni, hogy ki melyik kulcsot van, mikor lett kiadva, és egy megállapított időpontban visszavonni vagy vissza kell szerzeni azt.
Ez gyakran csak akkor válik láthatóvá, ha valami balul sül el: egy szerelő, aki elhagyja a munkahelyét, de még három ügyfél kulcscsomagja van az autóban, vagy egy alvállalkozó, aki a projekt befejezése után még mindig bejelentkezhet egy rendszergazdai fiókba. Az ügyfél, aki ezt a kérdést egy biztonsági kérdőíven keresztül felteszi, elsősorban azt szeretné tudni, hogy Ön strukturáltan kerüli-e meg ezeket a helyzeteket, és nem azt, hogy valaha is történt-e valami hiba.
Távolról történő hozzáférés az ügyfél rendszereihez
Azok az építőcégek, akik távolról követik nyomon vagy avatkoznak be az ügyfél rendszereibe, például egy klímaberendezés vagy egy energiagazdálkodási rendszer meghibásodásának diagnosztizálásához, gyakran saját hozzáférési útvonalra van szükségük: VPN, távoli asztal-kapcsolat vagy szállítóspecifikus platform. Ez a hozzáférési útvonal pontosan az a láncszemek, ahol egy megbízó, akinek gondoskodási kötelezettsége van, rákérdez, mivel az Ön rendszerében lévő gyenge pont közvetlenül az ő kockázataivá fordulhat.
Az ezzel kapcsolatos gyakori kérdések a távolról történő hozzáféréshez szükséges többtényezős hitelesítésre, az accounts kezelésért felelős személyekre, valamint arra vonatkoznak, hogy mi történik, ha egy laptop az ilyen hozzáféréssel ellopják. Nem szükséges minden kérdésre részletes műszaki választ adni; de szükséges tudni, hogy az Ön szervezetében ki osztja ki és vonja vissza az ilyen hozzáféréseket, és ezt valahol dokumentálni kell.
Hogyan illeszkedik ez a nagyobb képbe
A hozzáférés-szabályozás az ellátási kötelezettség alá tartozó intézkedések egyike, és ez az ellátási kötelezettség általában nem érinti az installáló vállalkozásokat, mivel ők maguk a törvény hatálya alá esnek, hanem azért, mert egy megbízó, aki ezt teszi, őket ezzel szembesíti. Aki még nem tudja, hogy ez az ő helyzetében játszik-e szerepet, néhány kérdésből megtudhatja ezt néhány kérdésben láthatja. Azok számára, akik már megkapták a kérdést, és szeretnék tudni, hogyan viszonyul a hozzáférés-szabályozás a másik kilenc intézkedéshez, teljes áttekintés áll rendelkezésre témánként részletezve.
Nem egy platform-szolgáltató, mint a secria.eu feladata, hogy eldöntse, mi elegendő az Ön konkrét esetében; ez továbbra is az Ön saját, vagy szükség esetén egy jogász vagy a felelős felügyeleti hatóság feladata. Amit azonban tenni kell: egy őszinte és aktuális nyilvántartást vezetni arról, hogy ki hol és milyen hozzáférésű lehet, hogy a biztonsági kérdőív már ne legyen meglepetés, hanem egy olyan nyomtatvány, amely pár perc alatt kitölthető. A gyakorlatban egy ilyen nyilvántartás felépítésének módjáról további információk az oldalon találhatók, amely bemutatja a dossziéban lévő információ forrása.
Szeretné először megtudni, hogy ez a téma releváns-e az Ön szervezete számára, és mit tartalmaz pontosan egy ilyen dosszie? Végezze el az ingyenes gyors-felmérést vagy lapozzon át a témákat; mindkettő felhasználói fiók nélkül is elérhető, és közvetlenül konkrét választ ad.