Un questionario di un cliente nell'industria metalmeccanica e manifatturiera ruota quasi sempre attorno allo stesso tema: come è protetto il vostro ambiente di produzione e cosa accade se tale ambiente è colpito da un guasto o da un attacco. Non è una coincidenza. Le macchine, i sistemi operativi e le apparecchiature di misurazione sono sempre più spesso collegate alla stessa rete dell'automazione d'ufficio, e proprio questa connessione tra produzione e IT è ciò su cui un cliente fa domande.
Le domande stesse variano da cliente a cliente, ma le categorie sono notevolmente coerenti: quali sistemi avete mappato, la vostra rete di produzione è separata dall'ufficio, come affrontate le macchine obsolete, chi ha accesso remoto per la manutenzione e cosa fate se una linea di produzione si ferma a causa di un guasto. Chi riconosce queste categorie non dovrà sorprendersi di fronte a un questionario.
Perché l'ambiente di produzione è centrale
Un'azienda di lavorazione dei metalli o un costruttore di macchine funziona con attrezzature che spesso durano anni o decenni: macchine CNC, PLC, sistemi SCADA. Tale attrezzatura è raramente progettata tenendo conto di una connessione Internet, ma in pratica viene collegata, ad esempio per il monitoraggio remoto o per l'inoltro di dati di produzione. Un cliente che rientra stesso nell'obbligo di diligenza della direttiva NIS2 deve valutare quali rischi portano con sé i suoi fornitori. Un ambiente di produzione collegato alla rete senza una chiara separazione dal resto dell'infrastruttura è un punto di attenzione ovvio in questo contesto.
Questo spiega perché i questionari in questo settore pongono più spesso che altrove domande sulla distinzione tra IT (l'ambiente d'ufficio) e OT (tecnologia operativa, i sistemi di produzione). Una domanda generale come "avete una politica di sicurezza dell'informazione" è quasi sempre integrata nell'industria metalmeccanica e manifatturiera con una più specifica: "la vostra rete di produzione è logicamente o fisicamente separata dalla vostra rete d'ufficio".
Le domande che ricorrono quasi sempre
Nei questionari rivolti ai fornitori di questo settore, alcuni argomenti ricorrono notevolmente spesso. Innanzitutto la panoramica: disponete di un inventario aggiornato di tutti i sistemi collegati al vostro ambiente di produzione, incluse le macchine che non sono più supportate dal produttore. Quindi la separazione tra le reti, e la domanda se esiste un segmento separato per i sistemi che non possono più essere corretti.
Un terzo blocco ricorrente riguarda l'accesso remoto: quali fornitori o tecnici di assistenza possono accedere da remoto alle vostre macchine e come è protetto e registrato tale accesso. Un quarto blocco riguarda la continuità: cosa succede se una linea di produzione si ferma a causa di un problema tecnico o di un attacco e quanto velocemente potete riprendere. Infine, un cliente spesso chiede la registrazione degli incidenti: documentate quando qualcosa va male nel vostro ambiente di produzione e chi all'interno della vostra organizzazione ne viene informato.
Chi desideri verificare se la propria organizzazione attraverso la catena di approvvigionamento ha a che fare con questo tipo di domande e in quale categoria rientra, trova alcune domande che in pochi minuti forniscono una prima indicazione un punto di partenza per questa spiegazione.
Le macchine più vecchie non sono sempre facili da affrontare
Per molte aziende in questo settore, la domanda più difficile non è la domanda stessa, ma la risposta. Una macchina di quindici anni di solito funziona con software che non viene più aggiornato, e la sostituzione è costosa. Un questionario di sicurezza non chiede necessariamente di sostituire quella macchina, ma di dimostrare che conoscete il rischio e quali misure di controllo del rischio avete adottato, ad esempio isolando il dispositivo in un segmento di rete separato senza collegamento diretto a Internet.
Questa distinzione — tra "eliminare il rischio" e "conoscere e controllare il rischio" — è precisamente quello che un cliente di solito cerca. La direttiva stessa e le leggi nazionali che ne derivano, come la legge sulla sicurezza informatica, descrivono questo tipo di misure di due diligence in termini generali; l'autorità di vigilanza pubblica inoltre chiarimenti pratici. Una panoramica di cosa significano esattamente questi concetti si trova in gli argomenti elaborati in base alla situazione.
Accesso remoto come punto di attenzione separato
La manutenzione remota è spesso inevitabile nell'industria metalmeccanica e manifatturiera: un fornitore di una macchina a volte deve essere in grado di monitorare da remoto un guasto. I questionari di sicurezza prestano deliberatamente attenzione a questo, perché è uno dei modi più comuni in cui un problema presso una parte può ripercuotersi su un'altra. Una risposta chiara descrive chi ha accesso, come viene concesso e revocato l'accesso, e se viene mantenuto un registro di chi ha effettuato l'accesso e quando.
Cosa fare con un questionario ricevuto da un cliente
Un questionario di un cliente è prima di tutto una richiesta di trasparenza, non un esame con un numero fisso di punti. Una risposta chiara, anche se significa che una misura è ancora in fase di sviluppo, è generalmente accolta meglio di un elenco di caselle selezionate senza giustificazione. Per domande su cosa un cliente può chiedere esattamente e fino a che punto può arrivare la domanda, è consigliabile consultare le pubblicazioni dell'autorità di vigilanza o coinvolgere un avvocato; secria.eu prepara risposte e documenti, ma non registra mai né comunica a nome del cliente.
Ulteriori dettagli su come è stata costruita questa informazione e quali fonti sono state utilizzate si trovano su la pagina che mostra da dove proviene l'informazione. Le risposte alle domande frequenti su questionari e il ruolo dei fornitori si trovano in la raccolta di domande frequenti.
Volete sapere se la vostra azienda, attraverso la catena di approvvigionamento, avrà a che fare con questo tipo di questionari di sicurezza, o cercate una spiegazione di un termine specifico di un questionario che avete già ricevuto? La scansione rapida gratuita e la banca dati di conoscenze forniscono un primo quadro in mezz'ora, senza bisogno di un account.