O politică a furnizorilor pentru ramura instalațiilor este o privire de ansamblu asupra părților cu care lucrați dvs. — subcontractanți, lucrători independenți, furnizori de software pentru planificarea dvs. sau sisteme de gestionare a clădirilor — cu, pentru fiecare parte, o evaluare a riscului pe care îl prezintă. Pentru întreprinderile de instalații, accentul se pune adesea nu doar pe accesul digital, ci și pe accesul fizic: cine primește o cheie, o insignă de acces sau o conectare la sistemul de gestionare al clientului dvs.
Aceasta face din ramura instalațiilor un caz special. În timp ce o companie de software se uită în principal la cine poate accesa codul sursă, o întreprindere de instalații se uită la cine se află în clădirea clientului, la ce cablaj se lucrează și ce date despre acea clădire — planuri, coduri de alarmă, jurnale de acces — sunt în tranzit către un subcontractant. O politică a furnizorilor aduce acele două lumi, fizică și digitală, împreună într-o privire de ansamblu unică.
De ce este relevant și fără o obligație proprie
Întreprinderile de instalații nu se află de obicei sub obligația de gestionare a securității cibernetice prevăzută de legea de implementare a Directivei. Dar clientul care este obligat — un spital, o companie de energie, o comună — trebuie să-și evalueze propriul lanț, ceea ce înseamnă că se uită și la cine angajați dvs. din nou. Un subcontractant cu un laptop nesupravegheat care se conectează la sistemul de gestionare a clădirilor unui spital este un risc pentru acel client, chiar dacă contractul este formal încheiat cu dvs. O politică a furnizorilor arată că cunoașteți și gestionați acel lanț de transmitere, în loc să fiți responsabil cu răspunsul ori de câte ori vine întrebarea. Puteți citi mai multe despre ce exact poate întreba acel client în prezentarea generală a temelor pe sector.
Ce ar trebui să conțină concret politica
O politică eficace a furnizorilor începe cu o listă: cine lucrează pentru dvs., cu ce acces și cât de stabil este acel raport. Pentru întreprinderile de instalații, acestea sunt de obicei trei categorii. Subcontractanți și lucrători independenți care lucrează pe teren și obțin acces fizic la clădiri, dulapuri cu chei sau camere de servere. Furnizori de software pentru sisteme de planificare, facturare sau gestionare a clădirilor care monitorizează sau colaborează de la distanță. Și furnizori de materiale sau echipamente care au uneori nevoie de o conectare proprie, de exemplu pentru înregistrarea garanției de la distanță.
Pentru fiecare parte, întrebarea este ce Control rezonabil înseamnă: o declarație că parolele nu sunt împărtășite între angajați, un acord asupra a ceea ce se întâmplă cu codurile de acces după finalizarea unei lucrări, sau pur și simplu o persoană de contact pe care o puteți contacta dacă ceva merge prost. Nu orice furnizor necesită aceeași adâncime — un furnizor de șuruburi cere altceva decât un subcontractant care se conectează cu contul dvs. la sistemul de gestionare al unui spital.
Subcontractanți și acces: punctul în care lucrurile devin greșite frecvent
În ramura instalațiilor, se lucrează mult cu subcontractanți variabili, uneori pentru o singură lucrare, uneori în structură. Aceasta face gestionarea accesului mai dificilă decât într-o companie cu o echipă fixă. Un punct de plecare practic este o întrebare simplă pentru fiecare subcontractant: această persoană primește o insignă de acces proprie sau o cheie, sau se lucrează cu un cod partajat? Acel acces este retras imediat după finalizarea lucrării, sau rămâne activ până când cineva se gândește să îl blocheze? Și cine din cadrul propriei dvs. companii este responsabil pentru acea retragere?
Aceste întrebări par organizatorice, nu tehnice, dar sunt exact despre ce merge o politică a furnizorilor: nu despre firewall-uri, ci despre cine intră unde și de ce. Pentru măsurile mai largi legate de acces în cadrul propriei dvs. companii, există o aprofundare separată; acest articol merge în mod specific asupra părților din afara companiei dvs. pe care le angajați dvs.
Cum să începeți fără a face din asta un proiect de un an
O politică de furnizori nu trebuie să fie completă dintr-o dată. O ordine viabilă este: începeți cu părțile care au acces la mediile cele mai sensibile — sisteme de gestionare a clădirilor la clienți din sectoarele vitale, sau software care se conectează la distanță. Documentați pentru fiecare parte ceea ce știți, ceea ce mai trebuie să investigați și cine se ocupă de acest lucru. Extindeți apoi această imagine de ansamblu la restul lanțului de aprovizionare.
Dacă și în ce măsură acest lucru este relevant pentru afacerea dvs. depinde de sectoarele în care sunt active clienții dvs. și de natura propriei dvs. servicii. O verificare rapidă arată unde se află afacerea dvs. în lanțși baza de cunoștințe de pe secria.eu arată pentru fiecare subiect ce sursă din textul oficial corespunde. Cum ține cont platforma cu acele surse, este explicat pe pagina cu privire la metodologia noastră.
Ceea ce acest articol nu înlocuiește
O politică de furnizori este un document organizațional, nu un sfat juridic cu privire la contractele dvs. specifice sau responsabilitatea dvs. față de subcontractanți. Pentru întrebări despre aceasta, un jurist sau o organizație din ramură este punctul de contact adecvat. Întrebări frecvente despre domeniul de aplicare al legii și rolul furnizorilor sunt colectate pe pagina cu întrebări frecvente.
Doriți să știți unde se află propria dvs. afacere și care furnizori din lanțul dvs. merită atenție mai întâi? Scanarea rapidă este gratuită și oferă în câteva minute o primă indicație, fără a fi nevoie de un cont.