Controle de acesso significa que pode demonstrar quem pode aceder a quais sistemas, espaços ou dados, e que esse acesso é revogado assim que alguém deixa de precisar dele. Para uma empresa de instalação, isto vai além de uma política de senhas no escritório: também abrange chaves de instalações de clientes, distintivos para espaços técnicos e acesso remoto a sistemas de gestão de edifícios que os seus técnicos mantêm.
A razão pela qual este tema aparece repetidamente em listas de verificação de segurança é simples: um técnico que pode iniciar sessão numa regulação de aquecimento sem senha, ou um ex-funcionário que ainda pode aceder a uma sala de servidores com uma chave, é precisamente o tipo de risco a que um mandante com obrigações de diligência deve prestar atenção. Quem responde a esta pergunta com um encolher de ombros perde um contrato mais rapidamente do que quem consegue dar uma resposta breve e honesta.
Dois tipos de acesso, um registo
Numa empresa de instalação, dois mundos sobrepõem-se. Por um lado, há acesso aos seus próprios sistemas: a administração, o software de agendamento, a caixa de correio. Por outro lado, há acesso físico e digital ao cliente: chaves, códigos de alarme, ligações VPN a um sistema de gestão de edifícios, contas de início de sessão numa regulação climática gerida remotamente.
Ambos se enquadram na mesma pergunta: quem pode aceder e por quê. Um registo actualizado em que por cada sistema ou conjunto de chaves consta quem tem acesso, desde quando e quem aprovou, é para a maioria das empresas de instalação já suficiente para responder a esta pergunta. Não precisa de ser um sistema complicado; um panorama que está correcto e que pode mostrar tem mais peso do que uma política abrangente que ninguém cumpre.
Chaves e distintivos: a parte esquecida do controle de acesso
Muitas empresas de instalação pensam imediatamente em credenciais de início de sessão quando consideram controle de acesso e esquecem a dimensão física. Conjuntos de chaves de locais de clientes, distintivos para espaços técnicos e códigos de sistemas de alarme são tão acesso como uma senha, e merecem a mesma disciplina: registar quem tem cada chave, quando foi entregue e um momento fixo em que é solicitada ou revogada.
Isto muitas vezes só se torna visível quando algo corre mal: um técnico que sai do serviço mas ainda tem um conjunto de chaves de três clientes no carro, ou um subcontratante que após a conclusão de um projecto ainda pode iniciar sessão numa conta de administrador. Um cliente que lhe coloca esta pergunta através de uma lista de verificação de segurança quer principalmente saber se evita estruturalmente este tipo de situações, não se algo correu mal alguma vez.
Acesso remoto a sistemas no cliente
Empresas de instalação que observam ou intervêm remotamente em sistemas no cliente, por exemplo para diagnóstico de avarias numa instalação de climatização ou um sistema de gestão de energia, frequentemente precisam do seu próprio caminho de acesso: uma VPN, uma ligação de secretária remota, ou uma plataforma própria do fornecedor. Esse caminho de acesso é precisamente o tipo de ligação a que um mandante com obrigações de diligência questiona, porque um ponto fraco em si pode traduzir-se directamente num risco para ele.
As perguntas que surgem com frequência aqui incidem sobre autenticação multifactor nesse acesso remoto, sobre quem gere as contas e sobre o que acontece se um portátil com esse acesso for roubado. Não é necessário ter uma resposta técnica abrangente a cada pergunta; é necessário saber quem na sua organização concede e revoga este tipo de acesso, e registar isto em algum lugar.
Onde isto se enquadra no quadro mais amplo
O controlo de acesso é uma das medidas que se enquadram na obrigação de diligência, e essa obrigação geralmente não afecta as empresas de instalação porque elas próprias estão sob a lei, mas porque um cliente que está sujeito a ela a exige delas. Quem ainda não sabe se isso se aplica à sua situação específica, pode descobrir em algumas perguntas. Para quem já recebeu a questão e quer saber como o controlo de acesso se relaciona com as outras nove medidas, existe uma visão geral completa desenvolvida por tema.
Não compete a um fornecedor de uma plataforma como secria.eu determinar o que é suficiente no seu caso específico; essa avaliação permanece uma decisão sua ou, em caso de dúvida, de um jurista ou da autoridade reguladora competente. O que é importante fazer: manter um registo honesto e actualizado de quem pode aceder a quê, para que um questionário de segurança deixe de ser uma surpresa e se torne um formulário que pode preencher em alguns minutos. Mais informações sobre como esse registo é elaborado na prática estão descritas na página que mostra a origem das informações no dossier.
Deseja primeiro verificar se este tema é relevante para a sua organização e o que um dossier contém exactamente para isso? Faça a verificação rápida gratuita ou percorra os temas; ambos podem ser consultados sem conta e fornecem uma resposta concreta imediata.