Il controllo degli accessi significa definire chi può accedere a quali sistemi, con quale account, e garantire che l'accesso venga revocato non appena una persona cambia ruolo o lascia l'azienda. Nell'industria metalmeccanica e manifatturiera non si tratta solo di laptop e posta elettronica, ma anche di macchine, PLC e linee di produzione che nel frattempo sono collegati alla stessa rete dell'automazione d'ufficio. Proprio questo punto di contatto tra IT e produzione è quello su cui i questionari di sicurezza spesso insistono.
La domanda ricorre in quasi ogni questionario perché il controllo degli accessi è una delle dieci misure che l'obbligo di diligenza della Direttiva NIS2 (articolo 21) richiede alle organizzazioni obbligate, e queste organizzazioni obbligate trasferiscono questo requisito ai loro fornitori tramite contratto. Un produttore di macchine o un fornitore che non ricade direttamente sotto NIS2 riceve comunque la domanda, perché un cliente deve essere in grado di rispondere.
La differenza tra ufficio e reparto di produzione
In ufficio il controllo degli accessi è solitamente implementato: un account per dipendente, una password, forse già un secondo fattore di autenticazione al login. Nel reparto di produzione è spesso diverso. Le macchine talvolta funzionano da anni con un unico account condiviso, una password tecnica che tutti conoscono, o un'impostazione del fornitore che non è mai stata modificata. Non è mancanza di volontà, è cresciuto dalla pratica della manutenzione e della risoluzione dei problemi. Le autorità di vigilanza e i clienti non guardano alla storia, ma alla situazione attuale: c'è una panoramica di chi può accedere a cosa, e quella panoramica è attuale.
Chi ha accesso e a cosa esattamente
Una panoramica utile risponde a tre domande per ogni sistema: chi ha un account, cosa può fare quella persona con esso, e è ancora necessario. Per i sistemi di produzione ciò significa, tra l'altro, fare distinzione tra visualizzazione (lettura dello stato), utilizzo (avviare o arrestare una linea) e programmazione (modificare impostazioni o software di controllo). Non tutti coloro che utilizzano una macchina devono poter modificare le impostazioni, e non tutti coloro che hanno ottenuto l'accesso per un progetto hanno ancora bisogno di quell'accesso.
Tecnici esterni e fornitori in remoto
Molti sistemi di produzione vengono mantenuti da remoto dal fornitore della macchina. È funzionale, ma è anche un percorso di accesso che dovrebbe essere documentato: chi del fornitore può effettuare l'accesso, attraverso quale connessione, e quella connessione è aperta solo durante la manutenzione o permanentemente. I clienti spesso chiedono esplicitamente di questo, perché una connessione aperta a una terza parte è uno dei modi più comuni in cui un incidente presso un'organizzazione può propagarsi a un'altra. Valutare questi fornitori è comunque un passaggio separato nell'obbligo di diligenza, indipendente dal controllo degli accessi stesso.
Password e account condivisi
Gli account condivisi sono pratici, ma rendono impossibile vedere in seguito chi ha fatto cosa. Dove è possibile, un account per persona è il punto di partenza che i questionari utilizzano. Dove non è tecnicamente possibile su macchine più vecchie, la risposta è spesso che ci sono altre misure intorno, come un numero limitato di persone con accesso fisico al pannello di controllo. Un questionario raramente chiede la perfezione, ma una risposta ben motivata.
Cosa documentate, non solo cosa regolate
La differenza tra "è regolato" e "è dimostrabile" sta nella documentazione: un elenco attuale di account e diritti, una data in cui tale elenco è stato verificato, e un nome responsabile della sua manutenzione. Questo è esattamente dove un dossier dinamico dimostra il suo valore, perché per ogni misura mostra uno stato, una prova e un proprietario invece di un testo Word isolato che nessuno aggiorna più.
Dove questo si colloca nell'insieme più ampio
La gestione degli accessi raramente figura da sola in un questionario. Viene solitamente combinata con domande su backup, autenticazione a più fattori e su cosa accade in caso di evento avverso. Chi non sa ancora se la propria organizzazione deve affrontare NIS2 attraverso un cliente, di solito inizia dal settore e dal ruolo nella catena di fornitura, non dalle singole misure.
Con poche domande che mostrano dove si trova la vostra azienda ottenete una prima indicazione, e in la knowledge base per argomento trovate le altre misure che compaiono negli stessi questionari. Come monitoriamo fonti come la direttiva e la legislazione nazionale, potete leggerlo su la pagina sulla nostra metodologia. Se avete dubbi su quale domanda corrisponde esattamente alla vostra situazione, consultate anche le domande più frequenti.
La verifica NIS2 e la knowledge base sono gratuite da consultare, senza account. Se volete andare oltre, ad esempio mantenere una panoramica per misura con stato e responsabile, questo rientra nel dossier dietro un abbonamento aziendale.