Un incident în sectorul instalațiilor nu este întotdeauna un laptop atacat. Este la fel de des cazul unui tehnician care se conectează cu un cont incorect la sistemul de management al clădirii al unui client, o seifă cu chei care nu este închisă corect, sau un coordonator de planificare care face clic pe o legătură de phishing, ceea ce expune o parolă a clientului. Ceea ce documentați este în esență același lucru pentru fiecare dintre aceste situații: când a fost descoperit, ce s-a întâmplat exact, cine a fost implicat, ce acces era în joc, ce măsură a fost luată și cine a fost notificat.
Această documentare este diferită de raportarea către o autoritate de supraveghere. Un registru intern de incidente este un jurnal continuu pe care îl păstrați singuri, indiferent dacă un incident este obligatoriu de raportat. Pentru organizațiile care se încadrează în sine sub Directiva NIS2, acest registru face parte din obligația de diligență din articolul 21. Pentru grupul mult mai mare de întreprinderi de instalații care nu sunt ele însele obligate, dar sunt evaluate ca furnizori, registrul este adesea exact ceea ce o chestionar de securitate de la un client cere: puteți demonstra că identificați, documentați și urmăriți incidentele? Indiferent dacă sunteți obligați conform legii sau pur și simplu afectați prin lanțul de aprovizionare, puteți verifica poziția dvs. cu câteva întrebări care vă arată poziția în lanțul de aprovizionare.
Ce trebuie să conțină registrul
Un registru de incidente util conține pentru fiecare eveniment data și ora descoperirii, o scurtă descriere a ceea ce a fost observat sau raportat, și numele persoanei care l-a observat sau raportat. De asemenea, notați ce sistem, ce locație sau ce client a fost afectat, și ce acces a jucat un rol: o parolă partajată, o cheie fizică, o carte de acces, o conexiune VPN la rețeaua clientului. Apoi documentați ce măsură a fost luată, cine era responsabil pentru aceasta, și dacă și când clientul sau organizația proprie a fost notificată. În final, o linie privind închiderea: a fost rezolvat incidentul, și s-a schimbat ceva ca urmare a acestuia?
Acea ultimă linie este adesea omisă, în timp ce autoritățile de supraveghere și clienții se uită în special la aceasta. Un registru care doar adună rapoarte spune puțin. Un registru în care se poate vedea că o problemă recurentă a dus la o ajustare a procedurii arată că organizația învață din aceasta.
Situația specifică a tehnicienilor la fața locului
Ceea ce distinge sectorul instalațiilor de, de exemplu, o companie de software, este că accesul este rareori doar digital. Un tehnician care trebuie să intre la un client are adesea atât o cheie fizică sau o carte de acces, cât și un cont digital pentru sistemul de management al clădirii, alarma sau instalația de climatizare. Un incident poate apărea deoarece o cheie se pierde, deoarece un cont de angajat anterior nu a fost revocat, sau deoarece un laptop cu date de conectare salvate este furat dintr-un vehicul. În registru, acea diferență nu contează prea mult: totul se rezumă la aceeași întrebare, anume cine a avut acces la ce moment și dacă aceasta era încă justificată.
Aceasta afectează direct controlul accesului: cine poate accesa ce sisteme și chei, și este acea imagine de ansamblu actuală. Un registru de incidente fără o imagine de ansamblu continuă a accesului este dificil de finalizat complet, deoarece atunci pentru fiecare incident trebuie să stabiliți din nou cine ar fi trebuit să aibă acces. O imagine de ansamblu continuă a măsurilor, statusurilor și responsabililor, așa cum o mențineți un dosar de securitate, face acea investigație inutilă.
Nu fiecare eveniment necesită același tratament
Materialitatea joacă și aici un rol: o fișă de parolă pierdută care este observată imediat și modificată cântărește diferit decât o vizită neautorizată la un sistem client care reiese la iveală abia după săptămâni. Directiva și legislația națională fac distincție între incidente grave și incidente minore, iar autoritățile de supraveghere se uită la impact asupra furnizării serviciilor și asupra clientului. O parte integrantă a propriei evaluări este, prin urmare: acest incident afectează doar funcționarea propriei afaceri, sau și sistemele sau datele unui client. În al doilea caz, o obligație de a informa acel client apare rapid, independent de întrebarea dacă există și o obligație legală de raportare.
Termenii și pragurile exact aplicabile diferă în funcție de situație și de țara în care sunteți activi. Pentru textul exact și localizarea acestuia, vă remitem la sursele oficiale, iar pentru propria situație la un avocat sau autoritatea de supraveghere competentă. O prezentare a modului în care urmărim sursele și de unde provin acestea se află pe pagina unde se explică metodologia noastră.
Cum se materializează acest lucru în practică
O întreprindere de instalații care poate demonstra cum înregistrează și urmărește incidentele le oferă unui client contractant ceva concret atunci când răspunde la o listă de verificare de securitate, și are ea însăși un material de referință pentru momentul în care lucrurile merg din nou prost. Cine nu are încă o formă stabilă pentru acest registru, găsește un punct de plecare și explicația corespunzătoare pe prezentarea generală a subiectelor după situațieși întrebări frecvente despre ceea ce trebuie și nu trebuie să apară în un astfel de registru sunt colecționate pe pagina cu răspunsuri la întrebări recurente.
Dacă doriți, începeți cu verificarea rapidă gratuită: în câteva întrebări vedeți dacă organizația dvs. cade ea însăși sub reglementare, este afectată prin lanțul de aprovizionare, sau nici una dintre cele două, cu o explicație pentru fiecare rezultat.