Rejestracja incydentów w branży metalowo-maszynowej opisuje co najmniej cztery elementy: co się stało, które systemy uległy zagrożeniu, kto podjął działania i kiedy sytuacja powróciła do normy. To brzmi prosto, ale w środowisku produkcyjnym pojawia się dodatkowa warstwa: obok automatyki biurowej działają tutaj systemy sterujące maszynami, urządzenia CNC i linie produkcyjne, które często znajdują się w tych samych sieciach co biurowa infrastruktura IT.
Kto podlega obowiązkowi staranności wynikającemu z dyrektywy NIS2 lub zostaje poproszony przez zamawiającego o wykazanie, jak obsługiwane są incydenty, nie może zadowolić się luźnym plikiem Excel, który rejestruje jedynie awarie IT. Wstrzymanie produkcji spowodowane zaszyfrowanym serwerem, szafą sterowniczą, która przestaje reagować, lub dostawcą, który loguje się na maszynie zdalnie i przypadkowo otwiera dostęp: to wszystko są zdarzenia, które powinny znaleźć się w tej samej rejestracji, nawet jeśli przyczyna nie jest od razu jasna.
Dlaczego to więcej niż bilet w helpdesku
Rejestracja incydentów jest jednym z mierników wynikających z obowiązku staranności dyrektywy NIS2 dla organizacji, które same są zasadnicze lub ważne. Dla firm dotykanych przez zamawiającego jest to już zwyczajnie pytanie w kwestionariuszu: jak dokumentuje Pan, co się stało, i czy może Pan to wykazać. Przegląd tego, jak ten miernik odnosi się do innych obowiązków wynikających z obowiązku staranności, znajduje się w przeglądzie wszystkich tematów, z krótką odpowiedzią na każdy temat i lokalizacją w tekście oficjalnym.
Różnica między przedsiębiorstwem, które ma to w porządku, a przedsiębiorstwem, które tego nie ma, rzadko leży w technice. Leży w zwyczaju zapisania czegoś zaraz po tym, jak się zdarzy, zamiast próby odtworzenia później, co dokładnie się przydarzył.
Systemy produkcyjne wymagają innego spojrzenia
Incydent biurowy jest stosunkowo przejrzysty: laptop, skrzynka pocztowa, dysk współdzielony. W branży metalowo-maszynowej systemy produkcyjne działają często przez lata bez zwracania na nich uwagi, z dostępem dostawcy maszyny, firmy serwisowej lub dostawcy usług technicznych, który obserwuje zdalnie. To utrudnia czasami rozróżnienie między awarią a incydentem bezpieczeństwa w danym momencie: czy linia stoi z powodu zużycia, błędnej aktualizacji, czy dlatego, że ktoś nieupoważniony się dostał.
Dlatego właśnie warto mieć w rejestracji osobne pole na typ systemu: automatykę biurową, system produkcyjny podłączony do sieci firmowej lub system zarządzany zdalnie przez stronę trzecią. Taki podział ułatwia nie tylko późniejszą analizę, ale także odpowiadanie na pytanie, które zamawiający często zadaje: jak Pana środowisko produkcyjne jest oddzielone od Pana biurowej infrastruktury IT.
Co co najmniej powinno znaleźć się w rejestracji
Użyteczna rejestracja opisuje moment, w którym incydent został zauważony i przez kogo, krótki opis tego, co zaobserwowano, które systemy lub linie produkcyjne faktycznie uległy zagrożeniu, jakie kroki podjęto w celu ograniczenia szkód, i moment, w którym sytuacja normalna została przywrócona. Do tego należy także krótki wniosek: czy to był incydent bezpieczeństwa, awaria techniczna, czy pozostało niejasne, jaka była przyczyna. Ta ostatnia kategoria może po prostu istnieć; nie każdy incydent daje się wyjaśnić w ciągu dnia, a uczciwa rejestracja mówi o tym również.
Różnica między dokumentowaniem a zgłaszaniem
Rejestracja to nie to samo co zgłoszenie. Organizacje, które same są istotnym lub ważnym podmiotem zgodnie z dyrektywą NIS2, mają obowiązek zgłoszenia do swojego organu nadzoru, z terminami określonymi w samej ustawie. W przypadku dokładnych terminów i sposobu zgłoszenia odsyłamy do tekstu oficjalnego i do organu nadzoru w Pani/Pana kraju; świadomie nie dokonujemy tutaj tej oceny. Ci, których dotyka to poprzez łańcuch dostaw, zazwyczaj nie mają ustawowego obowiązku zgłoszenia, ale często mają umowne zobowiązanie wobec zleceniodawcy do zgłoszenia incydentów w uzgodnionym terminie. W obu przypadkach dobra rejestracja jest punktem wyjścia: bez dokumentacji nie ma nic, na co można się powołać, gdy ktoś prosi o wyjaśnienie.
Kto za to odpowiada w Pana/Pani firmie
W wielu firmach zajmujących się instalacją i produkcją odpowiedzialność za systemy produkcyjne spoczywa na kierownictwie produkcji, podczas gdy osoba odpowiedzialna za IT zajmuje się przede wszystkim automatyzacją biurową. Dlatego ważne jest, aby wcześniej ustalić, kto jest właścicielem całej rejestracji incydentów i kto jest wzywany w pierwszej kolejności w przypadku konkretnego incydentu. Rejestracja prowadzona w dwóch oddzielnych systemach, jednym dla IT i jednym dla produkcji, powoduje przede wszystkim opóźnienia w momencie, gdy liczy się każda sekunda.
Co Secria robi i czego nie robi dla Pana/Pani
Secria pomaga w utworzeniu dossier, w którym ta rejestracja ma stałe miejsce ze statusem, dokumentem potwierdzającym i właścicielem dla każdego działania, oraz z przygotowanymi tekstami na wypadek, gdyby konieczne było zgłoszenie. Czego nie robimy, to rozwiązywanie samego incydentu: brak reagowania na incydenty, brak SOC, brak badań kryminalistycznych. To pozostaje pracą specjalistów, a my się przygotowujemy, aby gdy już do tego dojdzie, nie zaczynać od nowa. Więcej informacji na temat tego, skąd czerpią nasze informacje i jakich źródeł używamy, można znaleźć na stronie opisującej sposób działania. Koszty dossier i szablonów znajdują się na stronie z cenami.
Chce Pan/Pani najpierw wiedzieć, czy i jak Pana/Pani firma dokładnie się tutaj mieści, jako istotny lub ważny podmiot, czy jako dotknięty łańcuchem dostaw dostawca? Wykonaj bezpłatny test NIS2 i sprawdź w kilka pytań, gdzie się znajdujelub czytaj dalej w bazie wiedzy, aby uzyskać więcej informacji na temat tego zagadnienia.