Polityka dotycząca dostawców dla branży instalacyjnej to przegląd podmiotów, z którymi sami Państwo pracują — podwykonawcy, pracownicy na umowę śmieciową, dostawcy oprogramowania do planowania lub systemów zarządzania budynkami — z oszacowaniem ryzyka, które każdy z nich niesie. Dla firm instalacyjnych nacisk często nie kładzie się wyłącznie na dostęp cyfrowy, ale także na dostęp fizyczny: kto otrzymuje klucz, kartę dostępu lub login do systemu zarządzającego klienta.
To czyni branżę instalacyjną szczególnym przypadkiem. O ile firma programistyczna patrzy głównie na to, kto ma dostęp do kodu źródłowego, firma instalacyjna patrzy na to, kto przebywa w budynku klienta, jakie prace wykonywane są na urządzeniach oraz jakie dane dotyczące tego budynku — plany pięter, kody alarmów, logi dostępu — trafiają do podwykonawcy. Polityka dotycząca dostawców łączy te dwa światy, fizyczny i cyfrowy, w jeden przegląd.
Dlaczego jest to istotne nawet bez własnego obowiązku
Firmy instalacyjne zwykle nie podlegają sami obowiązkowi zarządzania bezpieczeństwem wynikającemu z ustawy o cyberbezpieczeństwie. Jednak zamawiający, który ma taki obowiązek — szpital, przedsiębiorstwo energetyczne, gmina — musi ocenić własny łańcuch dostaw, co oznacza, że patrzy również na to, do kogo się sami Państwo zwracacie. Podwykonawca z niezabezpieczonym laptopem logujący się do systemu zarządzającego budynkiem szpitala stanowi ryzyko dla tego zamawiającego, nawet jeśli umowa formalnie została zawarta z Wami. Polityka dotycząca dostawców pokazuje, że znacie Państwo i kontrolujecie ten łańcuch, zamiast nie móc odpowiedzieć, gdy pojawi się pytanie. Więcej na temat tego, co dokładnie zamawiający może pytać, znajdą Państwo w przeglądzie tematów na sektor.
Co konkretnie powinno się znaleźć w polityce
Praktyczna polityka dotycząca dostawców zaczyna się od listy: kto pracuje dla Państwa, z jakim dostępem i jak trwała jest ta relacja. Dla firm instalacyjnych są to zwykle trzy kategorie. Podwykonawcy i pracownicy na umowę śmieciową pracujący na terenie i otrzymujący fizyczny dostęp do budynków, szafek na klucze lub sal serwerowych. Dostawcy oprogramowania do planowania, fakturowania lub systemów zarządzania budynkami, którzy monitorują lub współpracują zdalnie. I dostawcy materiałów lub urządzeń, którzy czasem potrzebują własnego loginu, na przykład do rejestracji gwarancji zdalnie.
Dla każdego z partnerów pytanie brzmi, jaka kontrola jest rozsądna: oświadczenie, że hasła nie są udostępniane między pracownikami, umowa dotycząca tego, co stanie się z kodami dostępu po zakończeniu pracy, czy po prostu osoba kontaktowa, którą można osiągnąć w razie problemu. Nie każdy dostawca wymaga takiego samego poziomu szczegółowości — dostawca śrub wymaga czegoś innego niż podwykonawca logujący się na Wasz rachunek do systemu zarządzającego szpitala.
Podwykonawcy i dostęp: punkt, w którym często coś idzie nie tak
W branży instalacyjnej pracuje się z wieloma zmiennymi podwykonawcami, czasem na jedną pracę, czasem strukturalnie. To sprawia, że zarządzanie dostępem jest trudniejsze niż w firmie ze stałym zespołem. Praktycznym punktem wyjścia jest proste pytanie dla każdego podwykonawcy: czy ta osoba otrzymuje własną kartę dostępu czy klucz, czy pracuje się ze współdzielonym kodem? Czy dostęp jest wycofywany zaraz po zakończeniu pracy, czy pozostaje aktywny aż do momentu, gdy ktoś o tym pamiąta? I kto w Waszej firmie jest odpowiedzialny za jego wycofanie?
Te pytania wydają się organizacyjne, a nie techniczne, ale to właśnie o tym mówi polityka dotycząca dostawców: nie o firewallach, ale o tym, kto dokąd wchodzi i dlaczego. Aby uzyskać szerszą wiedzę na temat środków związanych z dostępem w Waszej firmie, istnieje oddzielne omówienie; artykuł ten dotyczy konkretnie podmiotów spoza Waszej firmy, do których sami się zwracacie.
Jak zacząć bez robienia z tego projektu na rok
Polityka dotycząca dostawców nie musi być od razu kompletna. Sensowna kolejność to: zacznij od stron, które mają dostęp do najbardziej wrażliwych środowisk — systemów zarządzania budynkami u klientów z sektorów krytycznych, lub oprogramowania, które może zdalnie obserwować operacje. Dla każdej ze stron ustal, co wiesz, co musisz jeszcze zapytać i kto to przejmie. Następnie rozszerz ten przegląd na resztę łańcucha dostaw.
Czy i w jakim stopniu jest to istotne dla Twojej firmy, zależy od sektorów, w których działają Twoi klienci, oraz od charakteru Twojej własnej działalności. Krótka kontrola pokazuje, gdzie Twoja firma stoi w łańcuchu dostaworaz baza wiedzy na secria.eu pokazuje dla każdego tematu, które źródło w tekście urzędowym się do tego odnosi. Jak utrzymujemy te źródła, jest wyjaśnione na stronie dotyczącej naszej metodyki.
To, czego nie zastępuje ten artykuł
Polityka dotycząca dostawców to dokument organizacyjny, a nie porada prawna na temat Twoich konkretnych umów lub odpowiedzialności wobec podwykonawców. W przypadku pytań na ten temat właściwym punktem kontaktowym jest prawnik lub organizacja branżowa. Często zadawane pytania dotyczące zakresu ustawy i roli dostawców znajdują się na stronie z najczęściej zadawanymi pytaniami.
Chcesz wiedzieć, gdzie stoi Twoja własna firma i którzy dostawcy w Twoim łańcuchu dostaw na pierwszy ogień? Szybka ocena jest bezpłatna i daje w kilka minut pierwsze wskazanie, bez potrzeby posiadania konta.