Incidentas montavimo pramonėje ne visada yra užhakuotas kompiuteris. Tai dažnai būna montueris, kuris naudoja ne savo paskyrą prisijungdamas prie kliento pastato valdymo sistemos, neseciai užrakinta raktų spintelė arba planavimo darbuotojas, kuris spustelėja į žvejybinį el. laišką, dėl kurio atskleidiamas kliento slaptažodis. Tai, ką dokumentuojate, yra iš esmės tas pats kiekvienoje iš šių situacijų: kada tai buvo aptikta, kas tiksliai atsitiko, kas dalyvavo, kokia prieiga buvo suinteresuota, kokia priemonė buvo imta ir kas buvo informuotas.
Šis dokumentavimas skiriasi nuo pranešimo priežiūros institucijai. Vidinis incidentų registras yra nuolatinis žurnalas, kurį jūs patys tvarkote, neatsižvelgiant į tai, ar incidentas turi būti praneštas. Organizacijoms, kurios patys patenka po NIS2 direktyvą, šis registras yra dalis iš pareigos pagal 21 straipsnį. Daug didesnei montavimo įmonių grupei, kuri pati nėra įpareigota, bet vertinama kaip tiekėja, registras dažnai yra būtent tas, kurio reikalauja kliento saugos klausimynas: ar galite parodyti, kad atpažįstate, dokumentuojate ir toliau nagrinėjate incidentus? Norėdami patikrinti, ar patys patupdyti pagal įstatymą ar tik veikiami per tiekimo grandinę, galite atlikti kelis klausimus, kurie parodo jūsų padėtį tiekimo grandinėje.
Ką turi turėti registras
Naudingas incidentų registras su kiekvienu įvykiu turi atidengimo datą ir laiką, trumpą aprašymą to, kas buvo matytas ar pranešta, ir asmens, kuris tai pastebėjo ar pranešė, vardą. Be to, užrašote, kurioje sistemoje, kurioje vietoje ar kurio kliento tai liečia, ir kokia prieiga dalyvavo: bendrai naudojamas slaptažodis, fizinis raktas, prieigos kortelė, VPN ryšys su kliento tinklu. Tada dokumentuojate, kokia priemonė buvo imta, kas už tai atsakingas, ir ar ir kada buvo informuotas klientas ar sava organizacija. Galiausiai eilutė apie užbaigimą: ar incidentas išspręstas ir ar dėl to pasikeitė kažkas veiklos metodikoje.
Ši paskutinė eilutė dažnai praleidiama, nors priežiūros institucijos ir užsakovai į tai tiesiog žiūri. Registras, kuriame tik skaičiuojami pranešimai, pasakys nedaug. Registras, kuriame matyti, kad pasikartojanti problema paskatino pokyčius veiklos būde, parodo, kad organizacija iš to mokosi.
Specifinė montierių situacija darbo vietoje
Tai, kas atskiria montavimo pramonę nuo, pavyzdžiui, programinės įrangos įmonės, yra tai, kad prieiga retai būna tik skaitmeninė. Monteris, kuris turi apsilankyti pas klientą, dažnai turi tiek fizinį raktą arba kortelę, tiek skaitmeninę paskyrą pastato valdymo sistemoje, signalizacijoje ar oro kondicionavimo įrangoje. Incidentas gali kilti dėl to, kad raktas hilsta, dėl to, kad buvusio darbuotojo paskyra nebuvo atšaukta, arba dėl to, kad iš automobilio buvo pavogtas nešiojamasis kompiuteris su išsaugotais prisijungimo duomenimis. Registre tas skirtumas nėra toks svarbus: tai visada tas pats klausimas, būtent kas ir kada turėjo prieigą ir ar tai buvo teisėta.
Tai tiesiogiai liečia prieigos kontrolę: kas gali turėti prieigą prie kurių sistemų ir raktų, ir ar tas apžvalga yra aktuali. Incidentų registras be nuolatinio prieigos apžvalgos yra sunkus užpildyti visiškai, nes su kiekvienu incidentu turėtumėte iš naujo išsiaiškinti, kas kur turėjo teisę. Nuolatinė priemonių, būsenų ir atsakingųjų apžvalga, kaip ją veda kiberkibernetinio dossier, padarytų tą išsiaiškinimą nereikalingą.
Ne kiekvienas įvykis reikalingas vienodą tvarkymą
Medžiaga taip pat čia svarbi: pamesta slaptažodžio žinutė, kuri iš karto buvo pastebėta ir pakeista, turi kitokį svorį nei neteisėtas prieigos įvykis į kliento sistemą, kuris atskleistas tik po savaičių. Direktyva ir nacionalinis teisės aktas skiria rimtus incidentus nuo mažesnių incidentų, o priežiūros institucijos žiūri į jų poveikį paslaugų teikimui ir klientui. Jūsų pačių vertinimo atsiskaitomoji dalis taip pat yra: ar šis incidentas paveikia tik jūsų pačių verslo operaciją, ar taip pat kliento sistemas ar duomenis. Pastarojo atveju įpareigojimas informuoti tą klientą gali iš karto kilti iš to, nepriklausomai nuo to, ar taikoma ir teisinė pranešimo pareiga.
Kokios tikslios terminai ir ribos galioja, priklauso nuo situacijos ir šalies, kurioje jūs veikiate. Dėl tikslaus teksto ir šaltinio nuorodos nukreipiame jus į oficialius šaltinius, o jūsų konkrečią padėtį – į teisininkus arba kompetentingą priežiūros instituciją. Apžvalga, kaip mes šaltinius stebime ir iš kur jie gaunami, yra puslapyje, kuriame paaiškinama mūsų darbo metodika.
Ką tai praktikoje reiškia
Montuotuvų įmonė, galinti parodyti, kaip ji registruoja ir stebėti incidentus, suteikia užsakovui ką nors konkrečaus, atsakydama į saugos klausimyną, ir turėti savipagalbą tuo atveju, jei kas nors vėl nepavyks. Kurie dar neturi fiksuotos formos šiam registrui, randa pradžios tašką ir susijusias nuorodas ties temų apžvalgą pagal situacijąir dažnai užduodami klausimai, kokius duomenis reikia arba nereikia registruoti, renkamasi puslapyje su atsakymais į pasikartojančius klausimus.
Jei norite, pradėkite nuo nemokamo greito šifo: keliuose klausimuose matote, ar jūsų organizacija pati patenka į įstatymą, ar yra paveikta per pasiūlą grandinę, ar nei viena, nei kita, su paaiškinimu kiekvienam rezultatui.