Un chestionar de la un comanditar din industria metalului și a fabricației se concentrează aproape întotdeauna pe aceeași temă: cum este securizat mediul dvs. de producție și ce se întâmplă dacă acel mediu este afectat de o defecțiune sau un atac. Aceasta nu este o întâmplare. Mașini, sisteme de operare și echipamente de măsurare sunt din ce în ce mai des conectate la aceeași rețea ca și automatizarea biroului, și chiar această conexiune între producție și IT este ceea ce un comanditar investighează.
Întrebările în sine diferă de la client la client, dar categoriile sunt remarcabil de constante: ce sisteme ați identificat, rețeaua dvs. de producție este separată de birou, cum gestionați mașinile învechite, cine are acces la distanță pentru întreținere și ce faceți atunci când o linie de producție se oprește din cauza unei defecțiuni. Cine recunoaște aceste categorii nu trebuie să privească un chestionar ca pe o surpriză.
De ce mediul de producție este central
O întreprindere de prelucrare a metalelor sau o fabrică de mașini funcționează cu echipamente care durează adesea ani sau decenii: mașini CNC, PLC-uri, sisteme SCADA. Aceste echipamente au fost rareori proiectate ținând cont o conexiune la internet, dar în practică sunt conectate, de exemplu pentru monitorizare la distanță sau pentru transmiterea datelor de producție. Un comanditar care se încadrează el însuși în obligațiile de diligență prevăzute de Directiva NIS2 trebuie să evalueze ce riscuri îi aduc furnizorii săi. Un mediu de producție conectat la rețea fără o separare clară de restul infrastructurii este un punct de atenție evident.
Aceasta explică de ce chestionarele din acest sector pun mai des întrebări cu privire la distincția dintre IT (mediul biroului) și OT (tehnologia operațională, sistemele de producție). O întrebare generală cum ar fi "aveți o politică de securitate a informațiilor" este aproape întotdeauna completată în industria metalului și a fabricației cu o întrebare mai specifică: "rețeaua dvs. de producție este separată logic sau fizic de rețeaua dvs. de birou".
Întrebările care apar aproape întotdeauna
În chestionarele adresate furnizorilor din această industrie, câteva subiecte apar frecvent. În primul rând, inventarul: dețineți o inventarizare actualizată a tuturor sistemelor conectate la mediul dvs. de producție, inclusiv mașinile care nu mai sunt susținute de producător. Apoi separarea între rețele și întrebarea dacă există un segment separat pentru sistemele care nu mai pot fi remediate prin actualizări de securitate.
Al treilea bloc recurent se referă la accesul la distanță: care furnizori sau tehnicieni de service se pot conecta la distanță la mașinile dvs., și cum este asigurat și înregistrat acest acces. Un al patrulea bloc se referă la continuitate: ce se întâmplă dacă o linie de producție se oprește din cauza unei probleme tehnice sau a unui atac, și cât de repede puteți relua activitatea. În cele din urmă, un client solicită frecvent înregistrarea incidentelor: documentați atunci când ceva nu merge în mediul dvs. de producție și cine din cadrul organizației dvs. este informat.
Cine dorește să verifice dacă propria organizație se confruntă cu acest tip de întrebări prin lanț de aprovizionare și în ce categorie se încadrează, găsește în câteva întrebări care oferă în câteva minute o primă indicație un punct de plecare pentru acea explicație.
Mașinile mai vechi nu sunt întotdeauna ușor de interpretat
Pentru multe companii din acest sector, cea mai dificilă întrebare nu este întrebarea în sine, ci răspunsul la aceasta. O mașină de cincisprezece ani vechi funcționează adesea pe software care nu mai primește actualizări, iar înlocuirea ei este costisitoare. O listă de întrebări nu necesită atunci în mod obligatoriu înlocuirea acelei mașini, ci demonstrarea faptului că știi unde se află riscul și ce măsuri ai luat în jurul acestuia, de exemplu prin plasarea dispozitivului într-un segment de rețea separat fără conexiune directă la internet.
Această distincție — între "eliminarea riscului" și "cunoașterea și gestionarea riscului" — este exact ceea ce un client de obicei caută. Directiva în sine și legile naționale care decurg din aceasta, cum ar fi legea de securitate cibernetică, descriu aceste măsuri de diligență în termeni generali; autoritatea de supraveghere publică în plus explicații practice. O prezentare generală a ceea ce aceste noțiuni înseamnă exact se găsește în subiectele care sunt detaliate în funcție de situație.
Accesul de la distanță ca punct de atenție separat
Întreținerea de la distanță este adesea inevitabilă în industria metalurgică și de fabricație: un furnizor de mașini trebuie uneori să poată urmări de la distanță o defecțiune. Listele de întrebări acordă aici o atenție deliberată, deoarece aceasta este una dintre cele mai frecvente moduri în care o problemă de la o parte poate afecta o alta. Un răspuns clar descrie cine are acces, cum se acordă și se revocă acel acces, și dacă se ține un jurnal cu cine s-a conectat și când.
Ceea ce faci cu o listă de întrebări primită
O listă de întrebări de la un client este în primul rând o cerere de transparență, nu un examen cu un număr fix de puncte. Un răspuns clar, chiar dacă aceasta înseamnă că o măsură este încă în curs de dezvoltare, este de obicei mai bine primit decât o listă de bifări fără justificare. Pentru întrebări cu privire la ceea ce un client are exact dreptul să întrebe și cât de departe poate merge acea întrebare, este recomandabil să consulți publicațiile autorității de supraveghere sau să implici un jurist; secria.eu pregătește răspunsuri și documente, dar nu raportează niciodată și nu se înregistrează în numele clientului.
Mai multe informații despre cum au fost construite aceste informații și ce surse au fost folosite se găsesc pe pagina care arată de unde provine informația. Răspunsuri la întrebări frecvente despre liste de întrebări și rolul furnizorilor sunt disponibile prin colecția de întrebări frecvente.
Vrei să afli dacă compania ta va fi afectată prin lanț de liste de întrebări de acest fel, sau cauți explicații pentru un anumit termen dintr-o listă de întrebări pe care ai primit-o deja? Verificarea rapidă gratuită și baza de cunoștințe oferă o imagine inițială în jumătate de oră, fără a fi nevoie de un cont.