Um incidente na indústria de instalação nem sempre é um portátil hackeado. É frequentemente um técnico que acede ao sistema de gestão de edifícios de um cliente com uma conta incorreta, um cofre de chaves que não foi fechado corretamente, ou um responsável de planeamento que clica numa ligação de phishing resultando na exposição de uma palavra-passe de cliente. O que registam é, em cada uma destas situações, essencialmente o mesmo: quando foi descoberto, o que exatamente aconteceu, quem esteve envolvido, que acesso estava em questão, que ação foi tomada e quem foi informado.
Este registo é diferente de reportar a uma autoridade reguladora. Um registo interno de incidentes é um diário contínuo que mantêm, independentemente de um incidente estar ou não sujeito a obrigação de reporte. Para organizações que se enquadram na Diretiva NIS2, este registo faz parte da obrigação de diligência devida do artigo 21. Para o grupo muito maior de empresas de instalação que não se enquadram diretamente na lei mas são avaliadas como fornecedores, o registo é frequentemente exatamente o que um questionário de segurança de um cliente solicita: conseguem demonstrar que identificam, registam e acompanham incidentes? Quer se enquadrem diretamente na lei ou sejam apenas afetados através da cadeia de fornecimento, podem verificar a sua posição com algumas perguntas que mostram a sua posição na cadeia de fornecimento.
O que deve estar no registo
Um registo de incidentes útil contém, para cada evento, uma data e hora de descoberta, uma breve descrição do que foi observado ou reportado, e o nome de quem o notou ou reportou. Além disso, registam qual sistema, que localização ou que cliente foi afetado, e que acesso teve um papel: uma palavra-passe partilhada, uma chave física, um cartão de acesso, uma ligação VPN à rede do cliente. Depois registam que ação foi tomada, quem foi responsável, e se e quando o cliente ou a própria organização foi informado. Finalmente, um registo sobre o encerramento: o incidente foi resolvido, e algo foi alterado na sequência do mesmo.
Esta última linha é frequentemente omitida, enquanto autoridades reguladoras e clientes é que procuram especificamente por ela. Um registo que apenas soma reportes diz pouco. Um registo onde se vê que um problema recorrente levou a uma alteração no método de trabalho demonstra que a organização aprende com isso.
A situação específica de técnicos no local
O que distingue a indústria de instalação de, por exemplo, uma empresa de software, é que o acesso raramente é apenas digital. Um técnico que tem de aceder à localização de um cliente frequentemente tem tanto uma chave física ou cartão como uma conta digital para o sistema de gestão de edifícios, alarme ou instalação de clima. Um incidente pode assim surgir porque uma chave se perdeu, porque a conta de um ex-funcionário não foi revogada, ou porque um portátil com credenciais guardadas foi roubado de uma carrinha. No registo essa distinção não é tão importante: trata-se sempre da mesma pergunta, a saber, quem teve acesso em que momento e se isso ainda era justificado.
Isto toca diretamente na gestão de acesso: quem pode aceder a que sistemas e chaves, e esse panorama está atualizado. Um registo de incidentes sem um panorama de acesso contínuo é difícil de manter completo, porque têm de averiguar novamente em cada incidente quem estava autorizado em quê. Um panorama contínuo de medidas, estados e responsáveis, como um dossier de cibersegurança mantém, torna essa averiguação desnecessária.
Nem todo o incidente precisa do mesmo tratamento
A materialidade também desempenha um papel aqui: um bloc de notas com uma senha perdida que é imediatamente notado e alterado tem um peso diferente de um acesso não autorizado a um sistema de cliente que só é descoberto semanas depois. A diretiva e a legislação nacional distinguem incidentes graves de ocorrências menores, e as autoridades supervisoras consideram o impacto na prestação de serviços e no cliente. Uma parte fixa de sua própria avaliação é, portanto: este incidente afeta apenas o funcionamento da sua própria empresa, ou também os sistemas ou dados de um cliente. No último caso, uma obrigação de informar esse cliente logo se apresenta, independentemente da questão de se também existe uma obrigação legal de notificação.
Os prazos e limiares exatos que se aplicam variam conforme a situação e o país em que está ativo. Para o texto exato e a localização, remetemos às fontes oficiais, e para sua situação específica, a um advogado ou à autoridade supervisora competente. Uma visão geral de como mantemos as fontes e de onde elas vêm está em a página onde o nosso método de trabalho é explicado.
O que isso leva na prática
Uma empresa de instalação que consegue demonstrar como registra e acompanha incidentes oferece ao cliente algo concreto para responder a um questionário de segurança e tem para si própria um trabalho de referência para o momento em que algo der errado novamente. Quem ainda não tem uma forma fixa para este registo encontra um ponto de partida e a explicação correspondente em a visão geral dos tópicos por situação, e perguntas frequentes sobre o que pertence ou não a tal registo estão reunidas em a página com respostas a questões recorrentes.
Comece se desejar com a análise rápida gratuita: em poucas perguntas verá se sua organização está sujeita à lei, é afetada através da cadeia, ou nenhum dos dois, com uma explicação por resultado.