Uma lista de verificação de segurança para uma empresa de instalações quase sempre gira em torno de uma pergunta central: quem tem acesso ao edifício e aos sistemas do cliente, e como esse acesso é gerenciado. Empresas de instalações trabalham no local, frequentemente possuem chaves ou crachás e conectam equipamentos a sistemas de controle de edifícios, instalações de climatização ou sistemas de alarme que às vezes também são gerenciados remotamente. É precisamente aqui que surgem as perguntas que se repetem constantemente neste setor.
A lista de verificação geralmente não é enviada porque a empresa de instalações se enquadra na Diretiva NIS2, mas porque o cliente se enquadra. Esse cliente — um hospital, uma empresa de energia, um distrito de água, um grande gestor de imóveis — tem uma obrigação de diligência que o obriga a avaliar seus fornecedores. Uma empresa de instalações que tem acesso aos edifícios ou sistemas de uma organização assim é, portanto, afetada pela cadeia de suprimentos, mesmo sem se enquadrar na população-alvo da lei.
Por que este setor recebe mais frequentemente uma lista de verificação
Empresas de instalações frequentemente mantêm precisamente a infraestrutura que é crítica para um cliente: aquecimento, ventilação, eletricidade, sistemas de detecção de incêndio, controle de acesso. Esses sistemas são cada vez mais conectados a uma rede, e às vezes a empresa de instalações é a única parte que pode fazer login remotamente para resolver problemas. Para o cliente, essa é uma razão para querer saber como esse acesso é protegido. Se uma empresa específica se enquadra na lei ou é afetada apenas pela cadeia de suprimentos é algumas perguntas.
Acesso ao edifício: o que é perguntado
No aspecto físico, geralmente trata-se de como chaves, crachás e códigos de alarme são emitidos e retirados. Perguntas que se repetem: quem dentro da empresa tem meios de acesso aos locais dos clientes, com que rapidez um crachá é bloqueado quando um técnico sai da empresa, e se existe um registro de quem tem acesso a quê e onde. Também é frequentemente perguntado se os subcontratados obtêm acesso independentemente ou sempre trabalham sob supervisão.
Acesso a sistemas no local: o que é perguntado
No aspecto digital, as perguntas se concentram em como o equipamento e as conexões no local são protegidos. Possíveis perguntas são se o login é feito com uma conta pessoal ou com uma senha compartilhada, se a verificação multifator é usada ao gerenciar remotamente um sistema de controle de edifícios, e como o acesso é revogado quando um projeto é concluído ou um funcionário sai. O equipamento próprio que é conectado no local — um laptop ou tablet do técnico — também é frequentemente motivo de pergunta: esse equipamento é gerenciado pela empresa e possui software de segurança.
Subcontratados e funcionários temporários
O trabalho de instalação é frequentemente parcialmente executado por subcontratados ou pessoal contratado. Por esse motivo, os clientes às vezes investigam como a empresa de instalações gerencia sua própria cadeia de suprimentos: um subcontratado recebe os mesmos meios de acesso que o pessoal próprio, e há visibilidade sobre quem realmente esteve no local em um determinado dia. Isso está alinhado com o princípio mais amplo de que uma obrigação de diligência não apenas se aplica ao fornecedor direto, mas também às partes que esse fornecedor contrata.
O que você pode fazer com estas perguntas
As perguntas em si muitas vezes não são complicadas, mas a resposta exige algo que foi documentado: uma visão geral de quem tem acesso, como esse acesso é revogado e quem é responsável por isso. As empresas que ainda não têm isso registrado em papel descobrem que a maior parte do tempo é gasta em documentar o que já acontece na prática. Uma visão geral dos tópicos que aparecem frequentemente nesses tipos de questionários, desenvolvida para cada situação, está em a página com tópicos por setor. Quem quiser saber como as informações em secria.eu são compiladas e quais fontes são usadas, lerá isso em página sobre a metodologia.
É importante perceber que um questionário de segurança não é uma obrigação legal em si, mas um instrumento pelo qual um cliente cumpre sua própria obrigação de cuidado. O que um cliente pode perguntar e o que não pode perguntar nesse contexto varia de situação para situação e de contrato para contrato; para a sua situação específica, é algo a ser discutido com o cliente ou, se necessário, com um advogado. Perguntas frequentes sobre esses tipos de questionários, incluindo com que frequência uma empresa pode esperar recebê-los, estão compiladas em a página com perguntas frequentes.
Quem quiser ver quais medidas em torno de controle de acesso e segurança física são frequentemente solicitadas e como se relacionam com as operações da própria empresa, pode visualizá-las gratuitamente e sem conta através da verificação NIS2 e do banco de conhecimento da secria.eu.