Incident v instalačnom odvetví nie je vždy prelomený notebook. Je to rovnako často montér, ktorý sa prihlási s nesprávnym účtom do systému správy budov zákazníka, skrinka na kľúče, ktorá nebola správne zatvorená, alebo referentka plánovania, ktorá klikne na phishingový odkaz a následne dôjde k odhaleniu hesla zákazníka. Čo si zaznamenáte, je v jadre totožné pre každú z týchto situácií: kedy to bolo zistené, čo sa presne stalo, kto bol zúčastený, aký prístup bol v hre, aké opatrenie bolo podniknuté a kto bol o tom informovaný.
Táto registrácia je niečo iné ako oznamovanie regulačnému úradu. Interný register incidentov je priebežný denník, ktorý si vedete sami, bez ohľadu na to, či je incident oznamovací povinný. Pre organizácie, ktoré sami podliehajú smernici NIS2, patrí tento register do povinnosti starostlivosti z článku 21. Pre oveľa väčšiu skupinu inštalačných spoločností, ktoré sú samo o sebe povinné, ale sú vyhodnocované ako dodávatelia, je register často presne tam, kde na neho pýta bezpečnostný dotazník objednávateľa: môžete preukázať, že rozpoznávate, zaznamenávate a kontrolujete incidenty? Či už sami podliehate zákonu alebo ste dotknutí iba prostredníctvom reťazca, môžete skontrolovať pomocou niekoľkých otázok, ktoré vám ukážu vašu pozíciu v reťazci.
Čo patrí do registra
Použiteľný register incidentov obsahuje na každú udalosť dátum a čas zistenia, stručný popis toho, čo bolo videné alebo oznámené, a meno osoby, ktorá si to všimla alebo to nahlásila. Okrem toho si zaznamenáte, ktorý systém, ktorú lokalitu alebo ktorého zákazníka to postihlo, a aký prístup tam hral úlohu: zdieľané heslo, fyzický kľúč, prístupovú kartu, VPN pripojenie do siete zákazníka. Potom si zaznamenáte, aké opatrenie bolo podniknuté, kto za to zodpovedal, a či a kedy bol zákazník alebo vlastná organizácia informovaná. Nakoniec riadok o zatvorení: je incident vyriešený a zmenilo sa na základe neho niečo?
Tento posledný riadok sa často preskakuje, pričom regulačné úrady a objednávatelia sa práve na neho pozerajú. Register, ktorý iba naraďuje hlásenia, hovorí málo. Register, v ktorom je vidieť, že sa opakujúci problém zmenil v úpravu pracovného postupu, ukazuje, že sa organizácia z neho poučila.
Špecifická situácia montérov na mieste
Čo odlišuje instalačné odvetví napríklad od softvérovej spoločnosti, je, že prístup sa zriedka jednotne digitalizuje. Montér, ktorý sa musí dostať do zákazníka, má často fyzický kľúč alebo kartu aj digitálny účet pre systém správy budov, alarm alebo klimatizáciu. Incident sa tak môže vyskytnúť preto, lebo sa stratil kľúč, pretože účet bývalého zamestnanca nebol zrušený, alebo pretože notebook s uloženými prihlasovacími údajmi bol ukradnutý z auta. V registri to nie je taký veľký rozdiel: vždy ide o rovnakú otázku, teda kto mal v ktorom momente prístup a či bol ešte oprávnený.
Toto priamo súvisí so správou prístupu: kto smie k akým systémom a kľúčom a či je tento prehľad aktuálny. Register incidentov bez priebežného prehľadu prístupu je ťažko úplný, pretože si potom musíte u každého incidentu znova vyčísliť, kto mal kam smieť. Priebežný prehľad opatrení, stavov a zodpovedných osôb, ako to vedie kyber-spis, zbavuje vás tejto investigácie.
Nie každá príhoda vyžaduje rovnakú manipuláciu
Materiálnosť zohrá úlohu aj tu: stratená poznámka s heslom, ktorá bola okamžite zistená a zmenená, sa váži inak ako neoprávnený prístup do systému zákazníka, ktorý sa objaví až po týždňoch. Smernica a národné právne predpisy rozlišujú medzi závažnými incidentmi a menej závažnými prípadmi a dozorné orgány pri tom zohľadňujú vplyv na poskytovania služieb a na zákazníka. Pevnou súčasťou vášho vlastného posúdenia je teda aj to: týka sa incident iba vlastného prevádzkovania podnikania, alebo aj systémov alebo údajov zákazníka. V prípade druhého uvedeného je povinnosť informovať tohto zákazníka na dosah ruky, bez ohľadu na otázku, či existuje aj zákonná povinnosť hlásenia.
Ktoré lehoty a prahové hodnoty presne platia, líši sa podľa situácie a podľa krajiny, v ktorej pôsobíte. Na presný text a miesto nálezu vás odkazujeme na oficiálne zdroje a na vašu konkrétnu situáciu na právnika alebo príslušný dozorný orgán. Prehľad toho, ako vedieme zdroje a odkiaľ pochádzajú, je uvedený na stránke, kde sa vysvetľuje náš postup.
Kde to v praxi vedie
Inštalačná firma, ktorá dokáže preukázať, ako zaznamenáva a sleduje incidenty, dáva zákazníkovi niečo konkrétne do ruky pri odpovedaní na zoznam bezpečnostných otázok, a má aj vlastný referenčný materiál na chvíľu, keď sa to opäť pokazí. Kto ešte nemá ustálenú formu pre tento register, nájde východisko a prislúchajúce vysvetlenie v prehľade tém podľa situáciea často kladené otázky o tom, čo v takýchto registroch patrí a čo nie, sú zbierané v stránke s odpoveďami na opakujúce sa otázky.
Začnite podľa potreby bezplatným rýchlym skenom: v niekoľkých otázkach vidíte, či vaša organizácia sama podlieha zákonu, či je zasiahnutá prostredníctvom dodávateľského reťazca, alebo ani jedno, s vysvetlením pre každý výsledok.