Il controllo degli accessi significa che potete dimostrare chi può accedere a quali sistemi, spazi o dati, e che tale accesso viene revocato non appena una persona non ne ha più bisogno. Per un'azienda di installazione va oltre una politica delle password in ufficio: riguarda anche le chiavi dei locali dei clienti, i badge per gli spazi tecnici, e l'accesso remoto ai sistemi di gestione degli edifici che i vostri tecnici mantengono.
Il motivo per cui questo argomento ricorre costantemente nei questionari di sicurezza è semplice: un tecnico che può accedere senza password a un termostato, o un ex dipendente che con una chiave può ancora entrare in una sala server, è esattamente il tipo di rischio su cui il responsabile della gestione del rischio del cliente deve vigilare. Chi risponde a questa domanda alzando le spalle perde un contratto più velocemente di chi sa dare una risposta breve e onesta.
Due tipi di accesso, un unico registro
In un'azienda di installazione due mondi si intersecano. Da un lato c'è l'accesso ai vostri sistemi: l'amministrazione, il software di pianificazione, la casella di posta. Dall'altro lato c'è l'accesso fisico e digitale presso il cliente: chiavi, codici di allarme, connessioni VPN a un sistema di gestione degli edifici, account di accesso a un impianto climatico gestito da remoto.
Entrambi rientrano nella stessa domanda: chi può accedere, e perché. Un registro permanente che per ogni sistema o mazzo di chiavi mostri chi ha accesso, da quando, e chi l'ha approvato, è per la maggior parte delle aziende di installazione già sufficiente per rispondere a questa domanda. Non deve essere un sistema complicato; un elenco accurato che potete mostrare conta più di una politica estesa che nessuno rispetta.
Chiavi e badge: la parte dimenticata del controllo degli accessi
Molte aziende di installazione pensano subito alle credenziali di accesso quando sentono parlare di controllo degli accessi, e dimenticano l'aspetto fisico. I mazzi di chiavi dei locali dei clienti, i badge per gli spazi tecnici e i codici dei sistemi di allarme sono accesso proprio come una password, e meritano la stessa disciplina: registrare chi ha quale chiave, quando è stata consegnata, e stabilire un momento fisso in cui viene richiesta indietro o revocata.
Questo spesso emerge solo quando qualcosa va storto: un tecnico che lascia il lavoro ma ha ancora un mazzo di chiavi di tre clienti in auto, o un subappaltatore che dopo la conclusione di un progetto può ancora accedere a un account amministratore. Un cliente che vi pone questa domanda tramite un questionario di sicurezza vuole soprattutto sapere se intercettate strutturalmente questo tipo di situazioni, non se è mai accaduto qualcosa di sbagliato.
Accesso remoto ai sistemi presso il cliente
Le aziende di installazione che monitorano o intervengono da remoto su sistemi presso il cliente, ad esempio per la diagnosi dei guasti su un impianto climatico o un sistema di gestione dell'energia, spesso hanno bisogno di un proprio percorso di accesso: una VPN, una connessione desktop remoto, o una piattaforma proprietaria del fornitore. Quel percorso di accesso è esattamente il tipo di collegamento su cui un cliente con responsabilità di gestione del rischio fa domande, perché un punto debole presso di voi può tradursi direttamente in un rischio per loro.
Le domande che ricorrono spesso riguardano l'autenticazione a più fattori su quell'accesso remoto, su chi gestisce gli account, e su cosa succede se un laptop con tale accesso viene rubato. Non è necessario avere una risposta tecnica dettagliata a ogni domanda; è però necessario sapere chi nella vostra organizzazione concede e revoca questo tipo di accesso, e registrarlo da qualche parte.
Come questo si inserisce nel quadro generale
Il controllo degli accessi è una delle misure coperte dall'obbligo di diligenza, e tale obbligo di solito non riguarda direttamente le aziende di installazione perché operano già sotto la legge, ma perché un cliente che vi è soggetto ve lo chiede nella catena di fornitura. Chi non sa ancora se questo si applica alla propria situazione può scoprirlo con poche domande. Per chi ha già ricevuto la domanda e vuole sapere come il controllo degli accessi si rapporta alle altre nove misure, esiste una panoramica completa per argomento.
Non spetta a un fornitore di piattaforme come secria.eu stabilire cosa sia sufficiente nel vostro caso specifico; tale valutazione rimane di vostra responsabilità o, in caso di dubbio, di un consulente legale o dell'autorità di vigilanza competente. Quello che è importante fare è: mantenere un elenco onesto e aggiornato di chi ha accesso dove, così che un questionario di sicurezza non sia più una sorpresa ma un modulo che potete compilare in pochi minuti. Maggiori dettagli su come costruire un tale elenco nella pratica sono descritti nella pagina che spiega da dove provengono le informazioni nel dossier.
Volete prima verificare se questo argomento è rilevante per la vostra organizzazione e cosa contiene esattamente un dossier per questo? Fate la scansione rapida gratuita o sfogliate gli argomenti; entrambi sono consultabili senza account e forniscono una risposta concreta immediata.