Kontrola dostępu oznacza, że określasz, kto ma dostęp do jakich systemów, na jakim koncie, i że dostęp ten jest odbierany, gdy osoba zmienia funkcję lub odchodzi. W przemyśle metalowym i produkcyjnym nie chodzi tylko o laptopy i pocztę e-mail, ale także o maszyny, sterowniki PLC i linie produkcyjne, które są teraz podłączone do tej samej sieci co automatyka biurowa. Dokładnie na granicy między IT a produkcją questionnaire dotyczące bezpieczeństwa często zadają pytania.
Pytanie pojawia się w prawie każdym questionnaire, ponieważ kontrola dostępu jest jednym z dziesięciu środków, które obowiązek staranny wynikający z dyrektywy NIS2 (artykuł 21) oczekuje od organizacji objętych obowiązkami, a te organizacje nakładają ten wymóg na swoich dostawców poprzez umowę. Producent maszyn lub dostawca, który sam nie podlega NIS2, otrzymuje więc to pytanie, ponieważ klient musi być w stanie na nie odpowiedzieć.
Różnica między biurem a halą produkcyjną
W biurze kontrola dostępu jest zwykle wdrożona: jedno konto na pracownika, hasło, być może już drugi krok podczas logowania. Na hali produkcyjnej jest to często inne. Maszyny czasem działają od lat z jednym wspólnym kontem, technicznym hasłem, które zna każdy, lub ustawieniami dostawcy, które nigdy nie były zmieniane. To nie jest brak woli, to wyrosło z praktyki utrzymania i usuwania awarii. Organy nadzoru i odbiorcy nie patrzą na historię, ale na obecną sytuację: czy istnieje przegląd, kto ma dostęp do czego, i czy ten przegląd jest aktualny.
Kto ma dostęp i do czego dokładnie
Przydatny przegląd odpowiada na trzy pytania dla każdego systemu: kto ma konto, co osoba może z nim robić i czy to jest jeszcze potrzebne. Dla systemów produkcyjnych oznacza to m.in. rozróżnienie między przeglądaniem (odczyt stanu), obsługą (uruchomienie lub zatrzymanie linii) a programowaniem (modyfikacja ustawień lub oprogramowania sterującego). Nie każdy, kto obsługuje maszynę, musi móc zmieniać ustawienia, i nie każdy, kto kiedyś otrzymał dostęp do projektu, potrzebuje teraz tego dostępu.
Montażyści zewnętrzni i dostawcy pracujący zdalnie
Wiele systemów produkcyjnych jest zdarzalnie obsługiwanych przez dostawcę maszyny. To jest funkcjonalne, ale to także ścieżka dostępu, którą należy dokumentować: kto od dostawcy może się zalogować, przez jakie połączenie i czy połączenie jest otwarte tylko podczas obsługi, czy stale. Odbiorcy często pytają to wprost, ponieważ otwarte połączenie do trzeciej strony jest jednym ze znanych sposobów, w jakie incydent u jednej strony może przeniknąć do drugiej. Ocena tych dostawców jest zresztą oddzielnym krokiem w obowiązku staranny, niezależnie od samej kontroli dostępu.
Hasła i konta wspólne
Konta wspólne są praktyczne, ale uniemożliwiają sprawdzenie, kto coś zrobił. Tam gdzie to możliwe, jedno konto na osobę to krok, który questionnaire przyjmują jako punkt wyjścia. Tam gdzie na starszych maszynach nie można tego technicznie osiągnąć, odpowiedź często jest taka, że wdrożone są inne środki, takie jak ograniczona liczba osób z fizycznym dostępem do panelu operacyjnego. Questionnaire rzadko wymaga doskonałości, ale wymaga uzasadnionej odpowiedzi.
Co dokumentujesz, nie tylko co rozwiązujesz
Różnica między "to jest rozwiązane" a "to jest możliwe do wykazania" tkwi w dokumentacji: aktualna lista kont i uprawnień, moment, w którym lista ta została sprawdzona, oraz imię i nazwisko osoby odpowiedzialnej za jej prowadzenie. To dokładnie tam, gdzie żywe dossier wykazuje swoją wartość, ponieważ na każdy środek pokazuje status, dowód i właściciela zamiast luźnego dokumentu Word, który nikt już nie aktualizuje.
Gdzie to pasuje w większą całość
Kontrola dostępu rzadko pojawia się sama w ankiecie. Zwykle łączy się ją z pytaniami dotyczącymi kopii zapasowych, uwierzytelniania wieloskładnikowego i tego, co dzieje się w przypadku incydentu. Organizacje, które jeszcze nie wiedzą, czy będą mieć do czynienia z NIS2 za pośrednictwem klienta, zwykle zaczynają od sektora i roli w łańcuchu dostaw, a nie od poszczególnych środków.
Za pomocą kilku pytań, które pokazują, gdzie stoi Twoja firma otrzymujesz wstępną wskazówkę, a w baza wiedzy na temat każdego zagadnienia znajdziesz inne środki, które pojawiają się w tych samych ankietach. Jak śledzę źródła takie jak dyrektywa i krajowe ustawodawstwo, przeczytasz na stronie dotyczącej naszej metodyki. Jeśli zastanawiasz się, które pytanie dokładnie pasuje do Twojej sytuacji, sprawdź również w często zadawane pytania.
NIS2-check i baza wiedzy są bezpłatne do konsultacji bez konta. Jeśli chcesz pójść dalej, na przykład prowadzić przegląd dla każdego środka ze statusem i właścicielem, to wchodzi w skład dossier za płatną subskrypcję biznesową.