Incydent w branży instalacyjnej nie zawsze oznacza zhackowany laptop. Równie często zdarza się, że technik loguje się na koncie innej osoby do systemu zarządzania budynkiem klienta, magazyn kluczy nie jest prawidłowo zamknięty, lub pracownik planowania kliknie na link phishingowy, w wyniku czego dochodzi do ujawnienia hasła klienta. To, co się dokumentuje, jest w każdej z tych sytuacji zasadniczo takie samo: kiedy odkryto incydent, co dokładnie się stało, kto był zaangażowany, jaki dostęp miał rolę, jakie podjęto działania i kto został powiadomiony.
Ta dokumentacja różni się od zgłaszania organom nadzoru. Wewnętrzny rejestr incydentów to bieżący dziennik, który prowadzi się niezależnie od tego, czy incydent podlega obowiązkowi zgłoszenia. Dla organizacji, które samodzielnie podlegają Dyrektywie NIS2, rejestr ten jest częścią obowiązkowych środków bezpieczeństwa z artykułu 21. Dla znacznie większej grupy firm instalacyjnych, które nie podlegają samodzielnie ale są oceniane jako dostawcy, rejestr jest często tym, o co pyta formularz oceny bezpieczeństwa odbiorcy: czy potrafisz wykazać, że rozpoznajesz, dokumentujesz i monitorujesz incydenty? Niezależnie od tego, czy samodzielnie podlegasz przepisom czy tylko poprzez łańcuch dostaw, możesz sprawdzić swoją pozycję za pomocą kilku pytań, które pokazują twoją pozycję w łańcuchu dostaw.
Co powinno być w rejestrze
Użyteczny rejestr incydentów zawiera dla każdego zdarzenia datę i godzinę wykrycia, krótki opis tego, co zaobserwowano lub zgłoszono, oraz imię i nazwisko osoby, która to zauważyła lub zgłosiła. Ponadto należy notatować, który system, która lokalizacja lub który klient był dotknięty, oraz jaki dostęp grał tu rolę: wspólne hasło, klucz fizyczny, karta dostępu, połączenie VPN do sieci klienta. Następnie dokumentujesz podjęte działania, kto za nich odpowiadał, i czy oraz kiedy klient lub własna organizacja została powiadomiona. Na koniec odnotowujesz rozwiązanie: czy incydent został usunięty i czy w jego wyniku coś się zmieniło.
Ta ostatnia notatka jest często pomijana, a tymczasem organy nadzoru i odbiorcy zwracają na nią szczególną uwagę. Rejestr, który tylko liczy zgłoszenia, mówi wiele. Rejestr, z którego widać, że powtarzający się problem doprowadził do zmiany procedur, pokazuje, że organizacja się uczy.
Specyficzna sytuacja techników na terenie
To, co wyróżnia branżę instalacyjną od na przykład firmy programistycznej, to fakt, że dostęp rzadko jest wyłącznie cyfrowy. Technik, który musi wejść do klienta, ma zazwyczaj zarówno fizyczny klucz lub kartę, jak i cyfrowe konto do systemu zarządzania budynkiem, alarmu lub instalacji klimatyzacyjnej. Incydent może zatem wynikać z zagubienia klucza, z tego, że konto pracownika, który odszedł, nie zostało wycofane, lub z tego, że laptop z zapisanymi danymi logowania został skradziony z pojazdu. W rejestrze różnica ta nie ma dużego znaczenia: zawsze chodzi o to samo pytanie, czyli kto miał dostęp w jakim momencie i czy był to dostęp uzasadniony.
To bezpośrednio dotyczy zarządzania dostępem: kto może mieć dostęp do których systemów i kluczy, i czy ten przegląd jest aktualny. Rejestr incydentów bez bieżącego przeglądu dostępów jest trudny do kompletnego prowadzenia, ponieważ przy każdym incydencie trzeba na nowo ustalić, kto miał prawo dostępu. Bieżący przegląd środków, statusów i właścicieli, taki jak prowadzi to cyber-dossier, czyni to śledztwo zbędnym.
Nie każde zdarzenie wymaga takiego samego postępowania
Materialnowość odgrywa tu również rolę: zgubiona kartka z hasłem, która została natychmiast zauważona i zmieniona, ma inne znaczenie niż nieautoryzowana wizyta w systemie klienta, która ujawnia się dopiero po tygodniach. Dyrektywa i ustawodawstwo krajowe rozróżniają znaczące incydenty od mniejszych zdarzań, a organy nadzoru przyglądają się przy tym wpływowi na świadczenie usług i na klienta. Stałym elementem własnej oceny jest zatem: czy ten incydent dotyczy tylko własnej działalności firmy, czy też systemów lub danych klienta. W tym drugim przypadku obowiązek powiadomienia tego klienta nasuwa się szybko, niezależnie od pytania, czy istnieje również ustawowy obowiązek zgłoszenia.
Jakie dokładnie terminy i progi mają zastosowanie, różni się w zależności od sytuacji i kraju, w którym działacie. W kwestii dokładnego tekstu i miejsca jego znalezienia odsyłamy do oficjalnych źródeł, a w kwestii waszej własnej sytuacji do prawnika lub właściwego organu nadzoru. Przegląd sposobu, w jaki prowadzimy źródła i skąd pochodzą, znajduje się na stronie, na której wyjaśniana jest nasza metoda.
Do czego prowadzi to w praktyce
Przedsiębiorstwo instalacyjne, które może wykazać, jak dokumentuje incydenty i je obsługuje, daje zleceniodawcy coś konkretnego w ręce przy udzielaniu odpowiedzi na listę kontrolną bezpieczeństwa, i ma samo podręcznik na wypadek, gdyby znowu coś poszło źle. Kto nie ma jeszcze stałej formy dla tego rejestru, znajdzie punkt wyjścia i wyjaśnienia na przeglądzie tematów dla każdej sytuacjii pytania najczęściej zadawane na temat tego, co powinno i nie powinno być zawarte w takim rejestrze, zebrane na tej stronie z odpowiedziami na powtarzające się pytania.
W razie potrzeby zacznij od bezpłatnego quick-scanu: w kilku pytaniach zobaczysz, czy twoja organizacja sama podlega ustawie, czy zostaje dotknięta za pośrednictwem łańcucha, czy żadne z nich, wraz z wyjaśnieniem dla każdego wyniku.