Controlul accesului înseamnă că stabiliti cine poate accesa care sisteme, cu care cont, și acel acces este revocat imediat ce o persoană și schimbă funcția sau pleacă. În industria metalurgică și de fabricație nu este vorba doar despre laptopuri și e-mail, ci și despre mașini, PLC-uri și linii de producție care sunt conectate acum la aceeași rețea ca și automatizarea de birou. Tocmai această interfață între IT și producție este locul unde chestionarele de securitate pun adesea întrebări suplimentare.
Întrebarea apare în aproape fiecare chestionar pentru că controlul accesului este una dintre cele zece măsuri pe care obligația de diligență din Directiva NIS2 (articolul 21) o așteaptă de la organizațiile supuse obligației, iar aceste organizații transferă această cerință furnizorilor lor prin contract. O fabrică de mașini sau un furnizor care nu cade sub NIS2, va primi totuși această întrebare, deoarece un client trebuie să poată răspunde la ea.
Diferența dintre birou și hala de producție
La birou, controlul accesului este de obicei implementat: un cont pe angajat, o parolă, poate deja o a doua treaptă la autentificare. Pe hala de producție este adesea diferit. Mașinile rulează uneori de ani de zile cu un singur cont partajat, o parolă tehnică pe care toată lumea o cunoaște, sau o setare de la furnizor care nu a fost niciodată modificată. Nu este din lipsă de voință, ci rezultatul practicii curente de întreținere și rezolvare a defectelor. Autoritățile de supraveghere și cumparatorii nu privesc la istorie, ci la situația actuală: există o evidență cu privire la cine poate accesa ce, și este acea evidență actualizată.
Cine are acces și la ce exact
O evidență utilă răspunde la trei întrebări per sistem: cine are un cont, ce poate face acea persoană cu el, și este aceasta încă necesar. Pentru sisteme de producție, aceasta înseamnă, printre altele, distincția între a vedea (a citi starea), a opera (a porni sau opri o linie) și a programa (a modifica setări sau software de control). Nu oricine care operează o mașină trebuie să poată modifica setările, și nu oricine care a primit acces odată pentru un proiect mai are nevoie de acel acces.
Montatori externi și furnizori la distanță
Multe sisteme de producție sunt întreținute la distanță de furnizorul mașinii. Aceasta este funcțională, dar este și o cale de acces care trebuie documentată: cine de la furnizor poate să se conecteze, prin ce conexiune, și acea conexiune este deschisă doar în timpul întreținerii sau permanent. Cumparatorii pun adesea întrebări explicite aici, deoarece o conexiune deschisă către o terță parte este una dintre modalitățile cunoscute prin care un incident la o organizație poate afecta alta. Evaluarea acelor furnizori este, de altfel, o etapă separată în obligația de diligență, independent de controlul accesului în sine.
Parole și conturi partajate
Conturile partajate sunt practice, dar fac imposibil a vedea ulterior cine a făcut ceva. Unde este posibil, un cont per persoană este pasul pe care chestionarele îl iau ca punct de plecare. Unde nu este posibil din punct de vedere tehnic pe mașini mai vechi, răspunsul este adesea că există alte măsuri în jurul acestuia, cum ar fi un număr limitat de persoane cu acces fizic la panoul de control. Un chestionar rar cere perfecțiune, dar solicită un răspuns bine fundamentat.
Ce documentați, nu doar ce reglementați
Diferența între „este reglementat" și "este demonstrabil" stă în documentare: o listă actualizată de conturi și drepturi, un moment în care acea listă a fost verificată, și un nume responsabil de menținerea acesteia. Aceasta este exact locul unde un dosar viu își dovedește valoarea, deoarece arată per măsură o stare, un document justificativ și un proprietar, în loc de un text Word izolat pe care nimeni nu îl mai actualizează.
Unde aceasta se încadrează în contextul mai larg
Controlul accesului rar apare izolat într-o listă de verificare. De obicei, este combinat cu întrebări despre copiile de siguranță, despre verificarea multifactorială și despre ce se întâmplă atunci când survine un incident. Organizațiile care nu știu încă dacă se vor confrunta cu NIS2 prin intermediul unui client încep de obicei cu sectorul și rolul în lanțul de aprovizionare, nu cu măsurile izolate.
Cu câteva întrebări care arată unde se află afacerea dvs. obțineți o primă indicație, și în banca de cunoștințe pe subiect găsiți celelalte măsuri care revin în aceleași liste de verificare. Cum ținem evidența surselor precum directiva și legislația națională, citește pe pagina cu privire la metodologia noastră. Dacă vă întrebați ce întrebare exact se aplică situației dvs., consultați și întrebările frecvent puse.
Verificarea NIS2 și baza de cunoștințe sunt gratuite pentru consultare, fără cont. Dacă doriți să continuați, de exemplu să țineți evidența unui tablou pe măsură cu status și proprietar, asta face parte din dosarul din spatele unui abonament comercial.