Piekļuves kontrole nozīmē, ka jūs noteiciet, kuriem ir atļauts pieklūt kādām sistēmām, ar kādu kontu, un tā tiek atņemta tūlīt, kad persona maina funkciju vai aiziet. Metālu un ražošanas rūpniecībā tas attiecas ne tikai uz klēpjdatoriem un e-pastu, bet arī uz mašīnām, PLC sistēmām un ražošanas līnijām, kas tagad ir pievienotas tam pašam tīklam kā birojs. Tieši šis IT un ražošanas robežšķērsojums ir vieta, kur drošības anketas bieži uzdod papildjautājumus.
Jautājums parādās gandrīz katrā anketā, jo piekļuves kontrole ir viena no desmit pasākumiem, ko NIS2 direktīvas (21. panta) pienākumi prasa no atbildīgajiem uzņēmumiem, un atbildīgie uzņēmumi šīs prasības caur līgumu nodod tālāk saviem piegādātājiem. Mašīnfabrika vai piegādātājs, kas pats neietilpst NIS2 darbības jomā, joprojām saņem šo jautājumu, jo klients tam ir jāspēj atbildēt.
Atšķirība starp biroju un ražošanas telpu
Birojā piekļuves kontrole parasti ir iestatīta: viens konts darbiniekam, parole, iespējams, jau otrs solis pierakstīšanās laikā. Ražošanas telpā tas bieži ir savādāk. Mašīnas dažreiz jau gadus izpilda ar vienu kopīgu kontu, tehnisko paroli, ko visi zina, vai piegādātāja iestatījumu, kas nekad nav mainīts. Tas nav nemiers, tas ir izveidojies no tehniskā apkopes un kļūdu novēršanas prakses. Uzraudzības iestādes un pirkumi neņem vērā vēsturi, bet gan pašreizējo situāciju: vai ir pārskats par to, kuriem ir pieejams kāds, un vai šis pārskats ir aktuāls.
Kuriem ir piekļuve, un tieši uz ko
Lietderīgs pārskats atbild uz trim jautājumiem par katru sistēmu: kuriem ir konts, ko šī persona var darīt, un vai tas vēl ir nepieciešams. Ražošanas sistēmam tas nozīmē, piemēram, atšķirību starp skatīšanos (statusa nolasīšanu), vadīšanu (līnijas uzsākšanu vai apturēšanu) un programmēšanu (iestatījumu vai vadības programmatūras maiņu). Ne katram, kas mašīnu darbina, ir jāvar mainīt iestatījumus, un ne katram, kas kādreiz saņēma projekta piekļuvi, tā joprojām ir vajadzīga.
Ārējie montieri un piegādātāji attālumā
Daudz ražošanas sistēmu tiek uzturētas attālumā mašīnas piegādātāja puses. Tas ir funkcionāli, bet tas ir arī piekļuves ceļš, kas būtu jāreģistrē: kurš piegādātāja puses darbinieks var pierakstīties, caur kādu savienojumu, un vai šis savienojums ir atvērts tikai apkopes laikā vai pastāvīgi. Pirkumi šeit bieži skaidri jautā, jo savienojums uz trešo pusi ir viena no pazīstamākajām veidiem, kā incidents vienai pusei var pārnest uz otru. Starp citu, piegādātāju novērtēšana ir atsevišķs pienākuma solis, neatkarīgs no paša piekļuves kontroles.
Paroles un kopīgie konti
Kopīgie konti ir praktiski, bet tie padara neiespējamu redzēt, kurš kas ir izdarījis. Ja tas ir iespējams, konts uz personu ir solis, ko anketas uzskata par sākumpunktu. Ja tas vecākās mašīnās tehniski nav iespējams, atbilde bieži ir tāda, ka apkārtei ir citi pasākumi, piemēram, ierobežots cilvēku skaits ar fizisku piekļuvi vadības panelim. Anketa reti prasa perfektsumu, bet gan pamatotu atbildi.
Ko jūs reģistrējat, ne tikai ko jūs regulējat
Atšķirība starp "tas ir sakārtots" un "tas ir pierādāms" ir reģistrācijā: aktuāls kontu un tiesību saraksts, brīdis, kad šis saraksts tika pārbaudīts, un vārds tiem, kas ir atbildīgi par tā aktualizēšanu. Tas ir tieši tas, kur dzīvajam dosijejam ir sava vērtība, jo tas katra pasākuma gadījumā parāda statusu, pierādījumu un īpašnieku, nevis lozu Word tekstu, ko neviens vairs neatjaunina.
Kur tas iederas lielākajā kontekstā
Piekļuves kontrole reti parādās kā atsevišķs jautājums aptaujā. Parasti tā tiek kombinēta ar jautājumiem par datu glabāšanu, daudzveidīgu verifikāciju un to, kas notiek, ja gadās drauds gadījums. Ja vēl nezināt, vai jūsu organizācija caur klientu nonāks saskarē ar NIS2, parasti sāk ar nozari un lomu piegādes ķēdē, nevis ar atsevišķiem pasākumiem.
Ar dažiem jautājumiem, kas parāda, kur atrodas jūsu uzņēmums saņemat pirmo norādi, un zināšanu bāze pa tēmām atradīsiet citus pasākumus, kas parādās tajās pašās aptaujās. Kā mēs sekojam avotiem, piemēram, direktīvai un nacionālajiem normatīvajiem aktiem, var lasīt darba metodes lapāVai jūs neesat pārliecināts, kurš jautājums precīzi atbilst jūsu situācijai, skatiet arī bieži uzdotie jautājumi.
NIS2 pārbaude un zināšanu bāze ir brīvi pieejamas bez konta. Ja vēlaties turpināt, piemēram, uzturēt pārskatu par katru pasākumu ar statusu un atbildīgo personu, tas ir iekļauts failā, kam nepieciešams komercabonements.