Prieigos kontrolė reiškia, kad jūs nustatote, kas gali pasiekti kurias sistemas, su kuriomis paskyromis ir kad prieiga atšaukiama, kai žmogus keičia pareigybę arba išvyksta. Metalų ir gamybos pramonėje kalbama ne tik apie nešiojamuosius kompiuterius ir el. paštą, bet ir apie mašinas, PLC ir gamybos linijas, kurios dabar yra prijungtos prie to paties tinklo kaip ir biuro automatika. Būtent tas IT ir gamybos sąsaja yra vieta, kurioje saugumo klausimynai dažnai ieškinėja.
Klausimas pasikartoja beveik kiekviename klausimyne, nes prieigos kontrolė yra viena iš dešimties priemonių, kurias kibernetinio saugumo pareiga pagal NIS2 direktyvą (21 straipsnis) reikalauja iš atsakingų organizacijų, o atsakingos organizacijos šią reikalavimą per sutartį perduoda savo tiekėjams. Todėl mašinų gamintoja arba tiekėjas, kuris pats nepatenka į NIS2, gauna šį klausimą, nes pirkėjas turi sugebėti į jį atsakyti.
Skirtumas tarp biuro ir gamybos grindų
Biure prieigos kontrolė dažniausiai yra nustatyta: viena paskyra vienam darbuotojui, slaptažodis, galbūt jau du žingsniai prisijungiant. Gamybos grindose dažnai yra kitaip. Mašinos kartais dešimtis metų veikia su viena bendrai naudojama paskyra, techniniu slaptažodžiu, kurį žino visi, arba tiekėjo nustatymu, kuris niekada nebuvo pakeistas. Tai nėra blogos valios reiškinys, tai išaugo iš techninio priežiūros ir gedimų šalinimo praktikos. Priežiūros institucijos ir pirkėjai čia žiūri ne į istoriją, o į dabartinę situaciją: ar yra kas turi prieigą ir ar tas sąrašas yra naujas.
Kas turi prieigą ir prie ko tiksliai
Naudingas sąrašas atsakinėja į tris klausimus kiekviena sistema: kas turi paskyrą, ką ta asmenybė gali su ja daryti ir ar tai dar vis reikalinga. Gamybos sistemoms tai reiškia, be kita ko, skirtumą tarp stebėjimo (būsenos nuskaitymo), vadybos (linijos pradžios arba stabdymo) ir programavimo (nustatymų arba valdymo programinės įrangos keitimo). Ne kiekvienas, kuris valdo mašiną, turi sugebėti keisti nustatymus, ir ne kiekvienas, kuris kada nors gavo prieigą projektui, dar reikalinga prieiga.
Išoriniai montuotojai ir nuotoliniai tiekėjai
Daugelis gamybos sistemų nuotoliniu būdu prižiūrimos mašinos tiekėjo. Tai funkcionalu, tačiau tai yra prieigos kelias, kuris turėtų būti dokumentuotas: kas iš tiekėjo gali prisijungti, per kokį ryšį, ir ar tas ryšys atidarytas tik priežiūros metu, ar nuolat. Pirkėjai dažnai čia tiksliai paklausdami, nes atviras ryšys su trečiąja šalimi yra vienas iš žinomesnių būdų, kaip vienos organizacijos incidentas gali persiduoti kitai. Beje, tų tiekėjų įvertinimas yra atskiras žingsnis rūpestingio valdymo pareigoje, atskirai nuo pačios prieigos kontrolės.
Slaptažodžiai ir bendrintos sąskaitos
Bendrintos sąskaitos yra praktiškos, tačiau jos neįmanoma nustatyti, kas vėliau ką padarė. Kur tik galima, vienos asmens sąskaita yra žingsnis, kurį klausimynai laiko pradine nuostata. Kur senesniuose įrenginiuose tai techniškai neįmanoma, atsakymas dažnai yra tas, kad yra ir kitos priemonės, pavyzdžiui, ribotas žmonių skaičius su fizine prieiga prie valdymo skydo. Klausimynas retai reikalauja tobulumo, jis reikalauja pagrįsto atsakymo.
Tai, ką jūs fiksuojate, o ne tik tai, ką jūs reglamentuojate
Skirtumas tarp "tai yra sutvarkytas" ir "tai yra įrodytinas" slypi dokumentavime: aktualus sąskaitų ir teisių sąrašas, momentas, kada tas sąrašas buvo patikrintas, ir vardas, atsakingas už jo atnaujinimą. Tai tiksliai tai, kur gyvas dossier įrodo savo vertę, nes kiekvienai priemonei jis rodo būseną, įrodymų dokumentą ir atsakingą asmenį, o ne atsiskirtą Word tekstą, kurį nebepanaudoja niekas.
Kaip tai atitinka didesnę visumą
Prieigos kontrolė retai pasirodo atskirai klausimyne. Paprastai ji derinama su klausimais apie atsargines kopijas, daugiaasme autentifikacija ir tuo, kas atsitinka incidento atveju. Jei dar nežinote, ar jūsų organizacija per klientą susidurs su NIS2, paprastai pradedama nuo sektoriaus ir vaidmens tiekimo grandinėje, o ne nuo atskirų priemonių.
Su keliais klausimais, kurie parodo, kur stovi jūsų verslas gausite pirmą rodiklį, o žinių bankas pagal temą rasite kitas priemones, kurios pasirodo tuose pačiuose klausimynuose. Kaip mes stebime šaltinus, tokius kaip direktyva ir nacionalinis teisės aktus, skaitykite puslapyje apie mūsų darbo metodąJei abejojate, kuris klausimas tiksliai atitinka jūsų situaciją, žiūrėkite taip pat dažniausiai užduodami klausimai.
NIS2 patikra ir žinių bankas yra nemokamai prieinami, be paskyros. Jei norite daugiau, pavyzdžiui, laikyti peržvalgą pagal priemonę su būsena ir savininku, tai yra dossier dalís, už kurią reikalingas verslo abonementas.