O controlo de acesso significa definir quem pode aceder a quais sistemas, com qual conta, e que esse acesso seja revogado assim que alguém muda de função ou sai da empresa. Na indústria metalomecânica e de fabrico, não se trata apenas de portáteis e correio eletrónico, mas também de máquinas, PLCs e linhas de produção que estão agora ligados à mesma rede que a automatização de escritório. É precisamente nesta interseção entre TI e produção que os questionários de segurança costumam aprofundar.
A pergunta surge em praticamente todos os questionários porque o controlo de acesso é uma das dez medidas que a obrigação de diligência da Diretiva NIS2 (artigo 21.º) espera de organizações obrigadas, e essas organizações transmitem esse requisito aos seus fornecedores através do contrato. Um fabricante de máquinas ou fornecedor de componentes que não esteja sujeito à NIS2 recebe portanto a mesma pergunta, porque um cliente precisa de poder respondê-la.
A diferença entre escritório e piso de produção
No escritório, o controlo de acesso é geralmente implementado: uma conta por colaborador, uma palavra-passe, talvez já um segundo fator de autenticação. No piso de produção, as coisas são muitas vezes diferentes. As máquinas funcionam por vezes há anos com uma conta partilhada, uma palavra-passe técnica que toda a gente conhece, ou uma configuração do fornecedor que nunca foi alterada. Não é falta de vontade, é um resultado que cresceu a partir da prática de manutenção e resolução de avarias. Os reguladores e os clientes não olham para o histórico, mas para a situação atual: existe um mapeamento de quem pode aceder a quê, e está esse mapeamento atualizado?
Quem tem acesso, e a quê exatamente
Um mapeamento útil responde a três perguntas por sistema: quem tem uma conta, o que essa pessoa pode fazer com ela, e continua a ser necessário. Para sistemas de produção, isso significa nomeadamente diferenciar entre visualização (leitura de estado), operação (iniciar ou parar uma linha) e programação (alterar configurações ou software de controlo). Nem toda a gente que opera uma máquina precisa de poder modificar as configurações, e nem toda a gente que uma vez teve acesso para um projeto ainda necessita desse acesso.
Técnicos externos e fornecedores de apoio remoto
Muitos sistemas de produção são mantidos remotamente pelo fornecedor da máquina. Isso é funcional, mas é também uma via de acesso que deve ser documentada: quem do fornecedor pode fazer login, por qual ligação, e essa ligação está aberta apenas durante a manutenção ou permanentemente. Os clientes perguntam frequentemente explicitamente sobre isto, porque uma ligação aberta a um terceiro é uma das formas mais conhecidas de um incidente num lado passar para o outro. A avaliação desses fornecedores é, aliás, uma etapa separada na obrigação de diligência, independentemente do próprio controlo de acesso.
Palavras-passe e contas partilhadas
As contas partilhadas são práticas, mas impossibilitam determinar posteriormente quem fez o quê. Quando possível, uma conta por pessoa é o ponto de partida que os questionários adotam. Quando isso não é tecnicamente possível em máquinas antigas, a resposta é muitas vezes que existem outras medidas em torno, como um número limitado de pessoas com acesso físico ao painel de controlo. Um questionário raramente pede perfeição, mas exige uma resposta fundamentada.
O que documenta, não apenas o que regula
A diferença entre "está resolvido" e "é comprovável" está na documentação: uma lista atual de contas e direitos, um momento em que essa lista foi verificada, e um nome responsável pela manutenção da mesma. É exatamente onde um dossier vivo prova o seu valor, mostrando por cada medida um estado, um comprovativo e um responsável em vez de um documento Word solto que ninguém mais atualiza.
Onde isto se enquadra no contexto mais amplo
O controle de acesso raramente aparece sozinho em um questionário. Geralmente é combinado com perguntas sobre cópias de segurança, sobre autenticação multifator e sobre o que acontece se um incidente ocorrer. Quem ainda não sabe se sua organização enfrenta a Diretiva NIS2 por meio de um cliente, geralmente começa pelo setor e o papel na cadeia de suprimentos, não pelas medidas isoladas.
Com algumas perguntas que mostram onde sua empresa está você obtém uma primeira indicação, e em a base de conhecimento por tema encontra as outras medidas que reaparece nos mesmos questionários. Como mantemos fontes como a diretiva e a legislação nacional, você lê em a página sobre nossa metodologia. Se tiver dúvidas sobre qual pergunta exata se aplica à sua situação, consulte também as perguntas mais frequentes.
A verificação NIS2 e a base de conhecimento são consultáveis gratuitamente, sem conta. Se você deseja ir além, por exemplo, manter um resumo por medida com status e proprietário, isso faz parte do dossiê atrás de uma assinatura comercial.