Una registrazione di incidenti nel settore metalmeccanico e manifatturiero descrive come minimo quattro aspetti: cosa è accaduto, quali sistemi sono stati colpiti, chi è intervenuto e quando la situazione è tornata sotto controllo. Sembra semplice, ma in un ambiente di produzione c'è un livello aggiuntivo: oltre all'automazione d'ufficio, qui funzionano anche sistemi di controllo di macchinari, apparecchiature CNC e linee di produzione che spesso si trovano sulle stesse reti dell'ICT d'ufficio.
Chi rientra nell'obbligo di diligenza della Direttiva NIS2 o viene richiesto tramite un committente di provare come vengono gestiti gli incidenti, non può accontentarsi di un semplice file Excel che tiene traccia solo dei malfunzionamenti informatici. Un fermo della produzione dovuto a un server crittografato, un quadro di controllo che non risponde più, o un fornitore che accede da remoto a una macchina e accidentalmente apre l'accesso: questi sono tutti eventi che appartengono alla stessa registrazione, anche se la causa non è immediatamente chiara.
Perché questo è più di un ticket nel servizio di assistenza
La registrazione degli incidenti è una delle misure che derivano dall'obbligo di diligenza della Direttiva NIS2, per le organizzazioni che sono esse stesse essenziali o importanti. Per le aziende che vengono coinvolte tramite un committente, è ormai anche una domanda comune nel questionario: come documenta cosa è accaduto e può dimostrarlo. Una panoramica di come questa misura si relaziona agli altri obblighi dell'obbligo di diligenza si trova nell'elenco di tutti gli argomenti, con una breve risposta per ogni tema e l'ubicazione nel testo ufficiale.
La differenza tra un'azienda che ha questo in ordine e un'azienda che non ce l'ha, raramente risiede nella tecnologia. Risiede nell'abitudine di registrare qualcosa non appena accade, invece di ricostruire a posteriori esattamente cosa è accaduto.
I sistemi di produzione richiedono una prospettiva diversa
Un incidente d'ufficio è relativamente semplice da seguire: un laptop, una casella di posta, un'unità condivisa. Nel settore metalmeccanico e manifatturiero, i sistemi di produzione spesso funzionano per anni senza che qualcuno vi presti attenzione, con accesso per il fornitore della macchina, una ditta di manutenzione o un fornitore di servizi tecnici che monitora da remoto. Questo rende a volte difficile distinguere tra un guasto e un incidente di sicurezza informatica nel momento stesso: una linea si ferma per usura, a causa di un aggiornamento errato, o perché qualcuno non autorizzato è entrato.
Proprio per questo è utile avere un campo separato nella registrazione per il tipo di sistema: automazione d'ufficio, un sistema di produzione collegato alla rete aziendale, o un sistema gestito da una terza parte tramite accesso remoto. Questa classificazione non solo aiuta nell'analisi successiva, ma anche nel rispondere alla domanda che un committente spesso pone: come il vostro ambiente di produzione è isolato dalla vostra ICT d'ufficio.
Cosa deve contenere come minimo la registrazione
Una registrazione utile descrive il momento in cui l'incidente è stato notato e da chi, una breve descrizione di cosa è stato osservato, quali sistemi o linee di produzione sono stati effettivamente colpiti, quali misure sono state prese per limitare i danni e il momento in cui la situazione normale è stata ripristinata. Deve anche includere una breve conclusione: si è trattato di un incidente di sicurezza informatica, di un guasto tecnico, o è rimasto poco chiaro qual era la causa. Quest'ultima categoria può tranquillamente esistere; non ogni incidente può essere spiegato entro un giorno, e una registrazione onesta lo dice anche così.
La differenza tra documentare e segnalare
Registrare è diverso dal segnalare. Le organizzazioni che sono esse stesse essenziali o importanti secondo la direttiva NIS2 devono rispettare un obbligo di segnalazione alle loro autorità di controllo, con termini stabiliti dalla legge stessa. Per i termini precisi e le modalità di segnalazione, vi rinviamo al testo ufficiale e all'autorità di controllo nel vostro paese; consapevolmente non offriamo qui una valutazione personale. Chi è colpito tramite la catena di approvvigionamento generalmente non ha un obbligo legale di segnalazione, ma spesso un accordo contrattuale con il cliente per segnalare gli incidenti entro un termine concordato. Una buona registrazione è il punto di partenza in entrambi i casi: senza documentazione non c'è nulla su cui fare affidamento quando qualcuno chiede spiegazioni.
Chi se ne occupa nella vostra azienda
In molte aziende di installazione e produzione, la responsabilità per i sistemi di produzione ricade sulla direzione della produzione, mentre il responsabile IT si occupa principalmente dell'automazione degli uffici. Questo rende importante stabilire in anticipo chi è il proprietario della registrazione degli incidenti nel suo complesso, e chi deve essere contattato per primo in caso di un incidente specifico. Una registrazione mantenuta in due sistemi separati, uno per l'IT e uno per la produzione, comporta principalmente ritardi nel momento in cui conta davvero.
Quello che secria.eu fa e non fa per voi
Secria.eu aiuta a configurare il dossier in cui questa registrazione ha un posto fisso, con uno stato, una prova e un proprietario per ogni misura, e con testi preparati per il momento in cui una segnalazione è necessaria. Quello che non facciamo è risolvere l'incidente stesso: nessuna risposta agli incidenti, nessun SOC, nessuna indagine forense. Rimane un lavoro specialistico di parti competenti, e noi ci prepariamo affinché voi, quando arriverà il momento, non cominciate da zero. Potete leggere di più su come otteniamo le nostre informazioni e quali fonti utilizziamo sulla pagina su come funziona. Quello che costano il dossier e i modelli si trova sulla pagina dei prezzi.
Volete prima sapere se e come la vostra azienda si inserisce esattamente qui, come entità essenziale o importante o come fornitore colpito dalla catena? Fate il controllo NIS2 gratuito e vedete in poche domande dove vi trovate, oppure continuate a leggere nella banca dati di conoscenze per maggiori dettagli su questo argomento.