Dodávateľská politika pre inštalačný sektor je prehľad strán, s ktorými vy sami pracujete — subdodávateľov, samostatných odborníkov, dodávateľov softvéru pre vašu plánovanie alebo systémy správy budov — s odhadom rizika, ktoré každá strana predstavuje. Pre inštalačné firmy sa zameranie často zaostruje nielen na digitálny prístup, ale aj na fyzický prístup: kto dostane kľúč, prístupnú kartu alebo prihlásenie do systému správy vášho zákazníka.
To robí inštalačný sektor osobitným prípadom. Ak softvérová spoločnosť primárne sleduje, kto má prístup k zdrojovému kódu, inštalačná firma sleduje, kto je vo vnútri budovy zákazníka, na akom vedení sa pracuje a aké informácie o budove — pôdorysy, kódy alarmov, záznamy o prístupe — sa dostávajú k subdodávateľovi. Dodávateľská politika spája tieto dva svety, fyzický a digitálny, v jednom prehľade.
Prečo je to relevantné aj bez vlastnej povinnosti
Inštalačné firmy zvyčajne nie sú samy viazané povinnosťou starostlivosti vyplývajúcou z zákona o kybernetickej bezpečnosti. Ale objednávateľ, ktorý je viazaný — nemocnica, energetická spoločnosť, obec — musí posúdiť svoju vlastnú dodávateľskú reťaz, čo znamená, že sleduje aj tých, ktorých vy zase zapájate. Subdodávateľ s nesledovaným notebookom, ktorý sa prihlasuje do systému správy budov nemocnice, predstavuje pre tohto objednávateľa riziko, aj keď je zmluva formálne uzavretá s vami. Dodávateľská politika ukazuje, že poznáte túto dodávateľskú reťaz a riadi ju, namiesto toho, aby ste neboli schopní odpovedať v momente, keď príde otázka. Viac o tom, čo presne smie ten objednávateľ požadovať, nájdete na prehľade tém podľa sektora.
Čo konkrétne by malo byť v politike
Praktická dodávateľská politika sa začína zoznamom: kto pre vás pracuje, s akým prístupom a ako je ten vzťah ustálený. Pre inštalačné firmy sú to väčšinou tri kategórie. Subdodávateľov a nezávislých odborníkov, ktorí pracujú na lokalite a majú fyzický prístup k budovám, skrínkam s kľúčmi alebo serverovňam. Dodávateľov softvéru pre plánovanie, fakturáciu alebo systémy správy budov, ktorí na diaľku sledujú alebo spolupracujú. A dodávateľov materiálov alebo zariadení, ktorí niekedy potrebujú vlastné prihlásenie, napríklad na registráciu záruky na diaľku.
Na každú stranu platí otázka, čo je rozumná kontrola: vyhlásenie, že hesla sa nedelia medzi zamestnancami, dohoda o tom, čo sa stane s prístupovými kódmi po skončení práce, alebo jednoducho kontaktná osoba, ktorú môžete dosiahnuť, ak sa niečo pokazí. Nie každý dodávateľ vyžaduje rovnakú hĺbku — dodávateľ skrutiek vyžaduje niečo iné ako subdodávateľ, ktorý sa prihlasuje k vášmu účtu v systéme správy budov nemocnice.
Subdodávatelia a prístup: miesto, kde sa to často pokazí
V inštalačnom sektore sa pracuje s mnohými meniacimi sa subdodávateľmi, niekedy na jednu prácu, niekedy trvalej. To robí správu prístupu zložitejšou ako v spoločnosti s pevným tímom. Praktický začiatok je jednoduchá otázka na každého subdodávateľa: dostane táto osoba vlastnú prístupovú kartu alebo kľúč, alebo sa pracuje so zdieľaným kódom? Zruší sa ten prístup hneď po skončení práce, alebo zostane aktívny, kým si niekto pamätá, aby ho zablokoval? A kto je v rámci vašej spoločnosti zodpovedný za jej zrušenie?
Tieto otázky sa zdajú byť organizačné, nie technické, ale sú presne o tom, čo dodávateľská politika znamená: nie o firewalloch, ale o tom, kto kde vstupuje a prečo. Pre ďalšie opatrenia týkajúce sa prístupu v rámci vašej vlastnej spoločnosti existuje samostatná analýza; tento článok sa zaostruje špecificky na strany mimo vašej spoločnosti, ktoré vy sami zapájate.
Ako začať bez toho, aby ste si z toho urobili ročný projekt
Politika dodávateľov nemusí byť kompletná naraz. Rozumný postup je: začnite so stranami, ktoré majú prístup k najcitlivejším prostrediam — systémom správy budov u klientov z kritických sektorov, alebo softvérom, ktorý sleduje z diaľky. Pre každú stranu si zaznamenajte, čo viete, čo ešte musíte zistiť a kto sa o to postará. Potom toto prehľad rozšírte na zvyšok dodávateľského reťazca.
To, či a do akej miery je to relevantné pre vašu spoločnosť, závisí od sektorov, v ktorých pôsobia vaši klienti, a od povahy vašej vlastnej poskytovanej služby. Stručná kontrola ukazuje, kde sa vaša spoločnosť v reťazci nachádza, a znalostná základňa na secria.eu ukazuje pre každú tému, ktorý zdroj v oficiálnom texte sa týka. Ako udržiavame tieto zdroje, je vysvetlené na stránke o našom postupe.
Čo tento článok nenahrádza
Politika dodávateľov je organizačný dokument, nie právny poradenský dokument týkajúci sa vašich špecifických zmlúv alebo zodpovednosti voči subdodávateľom. Pri otázkach týkajúcich sa toho sú príslušným kontaktným bodom právnik alebo odborová organizácia. Často kladené otázky o rozsahu zákona a úlohe dodávateľov sú zozbierané na stránke s často kladanými otázkami.
Chcete vedieť, kde sa nachádza vaša vlastná spoločnosť a ktorí dodávatelia v ašom reťazci si zaslúžia pozornosť v prvom rade? Rýchly scan je bezplatný a poskytne vám v niekoľkých minútach prvé indikácie bez potreby účtu.