A hozzáférés-kezelés azt jelenti, hogy meghatározzák, ki férhet hozzá mely rendszerekhez, milyen fiókkal, és azt a hozzáférést visszavonják, amint valaki pozíciót vált vagy elhagyja a vállalatot. A fém- és gyártóiparban nem csupán laptopokról és e-mailről van szó, hanem gépekről, PLC-kről és termelési sorokról is, amelyek ma már ugyanahhoz a hálózathoz csatlakoznak, mint az irodai automatizáció. Éppen az IT és a termelés közötti érintkezési pont az, ahol a biztonsági kérdőívek gyakran mélyebbre mennek.
A kérdés majdnem minden kérdőívben felmerül, mert a hozzáférés-kezelés az egyik tíz intézkedés közül, amelyet a NIS2-irányelv (21. cikk) szerinti felügyeleti kötelezettség az érintett szervezetektől elvár, és az érintett szervezetek ezt a követelményt szerződésük révén továbbadják szállítóiknak. Egy gépmárka vagy beszállító, amely maga nem tartozik a NIS2 alá, így is megkapja a kérdést, mert egy ügyfélnek tudnia kell azt megválaszolni.
A különbség az iroda és a termelőüzem között
Az irodában a hozzáférés-kezelés általában bevezetett: egy fiók alkalmazottonként, egy jelszó, talán már egy második lépés a bejelentkezéskor. A termelőüzemen gyakran másként van. A gépek néha már évek óta egy megosztott fiókkal futnak, egy technikai jelszóval, amelyet mindenki ismer, vagy a szállító olyan beállításával, amelyet soha nem módosítottak. Ez nem rossz szándék, ez az ügyeleti és hibaelhárítási gyakorlatból fejlődött ki. A felügyeleti hatóságok és megrendelők erre nem az előzményekre néznek, hanem az aktuális helyzetre: van-e egy áttekintés arról, hogy ki mihez férhet hozzá, és aktuális-e az áttekintés.
Ki férhet hozzá, és pontosan mihez
Egy hasznosítható áttekintés három kérdésre válaszol rendszerenként: kinek van fiókja, mit tehet azzal a személy, és még szükséges-e. Termelési rendszerek esetében ez többek között különbséget jelent a nézés (állapot leolvasása), a kezelés (egy sor indítása vagy leállítása) és a programozás (beállítások vagy vezérlőszoftver módosítása) között. Nem mindenkinek, aki egy gépet kezel, kell módosítania a beállításokat, és nem mindenkinek, aki valaha hozzáférést kapott egy projekthez, még szükséges az a hozzáférés.
Külső szerelők és szállítók távolról
Sok termelési rendszert a gép szállítója távolról tartja karban. Ez működőképes, de ez is egy hozzáférési útvonal, amelyet dokumentálni kell: a szállító mely munkatársai tudnak bejelentkezni, mely kapcsolaton keresztül, és csak a karbantartás során áll-e nyitva az a kapcsolat vagy állandóan. Az ügyfél itt gyakran kifejezetten rákérdez, mert egy harmadik félhez vezető nyitott kapcsolat az egyik ismertebb mód annak, ahogy az egyik oldali incidens az másik oldalára átvezethet. E szállítók értékelése azonban a felügyeleti kötelezettség egy külön lépése, amely a hozzáférés-kezeléstől független.
Jelszavak és megosztott fiókok
A megosztott fiókok praktikusak, de lehetetlenné teszik, hogy utólag láthassuk, ki csinált valamit. Ahol lehet, az egy személyenkénti fiók az a lépés, amelyet a kérdőívek kiindulópontként kezelnek. Ahol ezt az idősebb gépek technikailag nem teszik lehetővé, a válasz gyakran az, hogy más intézkedések vannak körül, mint például a kezelőpanel fizikai hozzáféréséhez szükséges korlátozott számú személy. Egy kérdőív ritkán kér tökéletességet, de jól megalapozott választ igen.
Mit rögzít meg, nem csak mit intéz
Az "intézett" és a "bizonyítható" közötti különbség a rögzítésben rejlik: a fiókok és jogok aktuális listája, az a pillanat, amikor az a lista ellenőrzésre került, és a név, aki felelős a karbantartásáért. Ez pontosan az, ahol az élő dosszie bizonyítja értékét, mert intézkedésenként megmutatja az állapotot, a bizonyítékot és az eigenschenlos helyett a szövegszerkesztő-dokumentumot, amelyet senki sem frissít.
Hol illik ez a nagyobb képbe
A hozzáférés-ellenőrzés ritkán áll egyedül egy kérdőívben. Általában kombinálva jelenik meg a biztonsági mentésekről, a többtényezős hitelesítésről és az incidensek bekövetkezésekor szükséges intézkedésekről szóló kérdésekkel. Aki még nem tudja, hogy szervezete ügyfélként NIS2-vel kapcsolatba kerül-e, jellemzően a szektorral és a szállítási láncban betöltött szereppel kezd, és nem az egyes intézkedésekkel.
Néhány kérdésből megismerheti vállalatának helyzetét kaphat egy első jelzést, és az ismeretbázis témánként találja meg az egyéb intézkedéseket, amelyek ugyanezekben a kérdőívekben ismétlődnek. Azt, hogy hogyan tartjuk nyomon az olyan forrásokat, mint az irányelv és a nemzeti jogszabályok, a(z) a munkafolyamatunkról szóló oldalonoldalon olvashatja. Ha bizonytalan abban, hogy mely kérdés vonatkozik pontosan az Ön helyzetére, tekintse meg a leggyakrabban feltett kérdéseket.
A NIS2-ellenőrzés és a tudástár ingyenesen, fiók nélkül elérhető. Ha továbblépni szeretne, például egy státuszt és tulajdonost tartalmazó intézkedésenként nyomon követett áttekintést, az az üzleti előfizetés mögé tartozó dossziéhoz kapcsolódik.