Un incidente nel settore degli impianti non è sempre un computer hackerato. È spesso un tecnico che accede al sistema di gestione degli edifici di un cliente con un account sbagliato, un armadietto delle chiavi non chiuso correttamente, o un impiegato della pianificazione che fa clic su un collegamento di phishing esponendo una password del cliente. Quello che annota è fondamentalmente lo stesso per ogni situazione: quando è stato scoperto, cosa è successo esattamente, chi era coinvolto, quale accesso era in gioco, quale azione è stata intrapresa e chi è stato informato.
Questa annotazione è diversa dalla segnalazione a un'autorità di vigilanza. Un registro interno degli incidenti è un registro continuo che mantiene lei stesso, indipendentemente dal fatto che un incidente sia soggetto a obbligo di segnalazione. Per le organizzazioni che ricadono esse stesse nella Direttiva NIS2, questo registro fa parte dell'obbligo di diligenza dell'articolo 21. Per il gruppo molto più ampio di aziende di installazione che non ricadono esse stesse nella legge ma sono valutate come fornitori, il registro è spesso proprio quello che una lista di controllo di sicurezza di un cliente chiede: può dimostrare di identificare, annotare e seguire gli incidenti? Che ricada o meno direttamente sotto la legge o sia interessato solo attraverso la catena di fornitura, può verificare la sua posizione con alcune domande che mostrano la sua posizione nella catena di fornitura.
Cosa va nel registro
Un registro degli incidenti utile contiene per ogni evento una data e un'ora di rilevamento, una breve descrizione di ciò che è stato visto o segnalato e il nome della persona che lo ha notato o segnalato. Inoltre, annota quale sistema, quale ubicazione o quale cliente è stato interessato e quale accesso ha giocato un ruolo: una password condivisa, una chiave fisica, una tessera di accesso, una connessione VPN alla rete del cliente. Successivamente, annota quale azione è stata intrapresa, chi ne era responsabile e se e quando il cliente o l'organizzazione interna è stato informato. Infine, una nota sulla chiusura: l'incidente è stato risolto e qualcosa è cambiato di conseguenza.
Quest'ultima nota viene spesso tralasciata, mentre le autorità di vigilanza e i clienti la esaminano attentamente. Un registro che elenca solo le segnalazioni dice poco. Un registro che mostra come un problema ricorrente ha portato a un cambiamento nel modo di operare dimostra che l'organizzazione impara da esso.
La situazione specifica dei tecnici in loco
Ciò che distingue il settore degli impianti da, ad esempio, un'azienda di software è che l'accesso raramente è solo digitale. Un tecnico che deve accedere presso un cliente ha spesso sia una chiave fisica o una tessera che un account digitale per il sistema di gestione degli edifici, l'allarme o l'impianto climatico. Un incidente può quindi verificarsi perché una chiave viene persa, perché un account di un ex dipendente non è stato revocato, o perché un computer portatile con credenziali salvate viene rubato da un veicolo. Nel registro questa distinzione non fa molta differenza: si tratta sempre della stessa domanda, vale a dire chi aveva accesso in quale momento e se era ancora giustificato.
Questo tocca direttamente il controllo degli accessi: chi può accedere a quali sistemi e chiavi e quell'elenco è aggiornato. Un registro degli incidenti senza una panoramica continua degli accessi è difficile da completare, perché deve ogni volta verificare nuovamente chi poteva accedere a cosa. Una panoramica continua delle misure, degli stati e dei proprietari, come mantiene un cyber-dossier, rende quell'indagine superflua.
Non tutti i casi richiedono lo stesso trattamento
La materialità conta anche qui: un'annotazione di password smarrita che viene notata e modificata immediatamente ha un peso diverso rispetto a un accesso non autorizzato a un sistema cliente che emerge solo dopo settimane. La direttiva e la normativa nazionale distinguono gli incidenti significativi dai problemi minori, e le autorità di controllo valutano l'impatto sulla fornitura del servizio e sul cliente. Una parte fissa della vostra valutazione interna deve quindi essere: questo incidente riguarda solo il funzionamento della vostra azienda, oppure anche i sistemi o i dati di un cliente. Nel secondo caso, l'obbligo di informare il cliente emerge facilmente, indipendentemente dalla questione se sussista anche un obbligo legale di segnalazione.
I termini e le soglie esatti applicabili variano a seconda della situazione e del Paese in cui operate. Per il testo esatto e la fonte rimandiamoalle fonti ufficiali, e per la vostra situazione specifica a un consulente legale o all'autorità di controllo competente. Una panoramica di come conserviamo le fonti e da dove provengono si trova su la pagina dove viene spiegato il nostro metodo di lavoro.
Cosa ne consegue nella pratica
Un'azienda di installazione che può dimostrare come registra e segue gli incidenti fornisce a un cliente committente uno strumento concreto per rispondere a un questionario sulla sicurezza, e dispone essa stessa di un manuale di consultazione per quando le cose vanno storte di nuovo. Chi non ha ancora una forma fissa per questo registro, trova un punto di partenza e la relativa spiegazione su la panoramica degli argomenti per situazionee le domande frequenti su cosa debba e non debba trovarsi in un tale registro sono raccolte su la pagina con risposte alle domande ricorrenti.
Se lo desiderate, cominciate con la scansione rapida gratuita: con un paio di domande vedrete se la vostra organizzazione è soggetta direttamente alla legge, se viene raggiunta attraverso la catena di fornitura, o nessuno dei due, con una spiegazione per ogni risultato.