Zoznam otázok od objednávateľa v metalurgii a strojárenstve sa takmer vždy točí okolo rovnakej témy: ako je vaše výrobné prostredie chránené a čo sa stane, ak ho postihne porucha alebo útok. To nie je náhoda. Stroje, operačné systémy a meracie zariadenia sú čoraz viac pripojené k rovnakej sieti ako kancelárska automatizácia, a práve toto prepojenie medzi výrobou a IT je to, na čo sa objednávateľ pýta.
Otázky sa líšia podľa zákazníka, ale kategórie sú nápadne konzistentné: aké systémy ste zmapovali, je vaša výrobná sieť oddelená od kancelárie, ako postupujete so zastaranými strojmi, kto má diaľkový prístup na údržbu a čo robíte, keď výrobná linka stane pre porchu. Kto rozpozná tieto kategórie, nemusí vnímať zoznam otázok ako prekvapenie.
Prečo je výrobné prostredie v centre pozornosti
Kovoobrábacia dielňa alebo strojárenský závod funguje na zariadeniach, ktoré často fungujú roky alebo desaťročia: CNC stroje, PLC, SCADA systémy. Toto zariadenie bolo zriedka navrhnuté s ohľadom na internetové pripojenie, ale v praxi je pripojené, napríklad na diaľkové monitorovanie alebo na prenos výrobných údajov. Objednávateľ, ktorý sám podlieha povinnosti starostlivosti podľa smernice NIS2, musí posúdiť, aké riziká predstavujú jeho dodávatelia. Výrobné prostredie, ktoré je pripojené k sieti bez jasného oddelenia od zvyšku infraštruktúry, je v tom zrejmým bodom pozornosti.
To vysvetľuje, prečo sa zoznamy otázok v tomto sektore často viac opytujú na rozdiel medzi IT (kancelárskym prostredím) a OT (operačnou technológiou, výrobnými systémami). Všeobecná otázka ako "máte politiku bezpečnosti informácií" sa v metalurgii a strojárstve takmer vždy dopĺňa špecifickejšou: "je vaša výrobná sieť logicky alebo fyzicky oddelená od vašej firemnej siete".
Otázky, ktoré sa takmer vždy objavujú
V zoznamoch otázok k dodávateľom v tomto sektore sa určité témy opakovane objavujú. V prvom rade inventúra: máte aktuálny zoznam všetkých systémov pripojených k vášmu výrobnému prostrediu, vrátane strojov, ktoré už fabrikant nepodporuje. Potom oddelenie sietí a otázka, či existuje samostatný segment pre systémy, ktoré sa už nedajú patchovať.
Tretí opakujúci sa blok sa týka diaľkového prístupu: ktorí dodávatelia alebo servisní technici sa môžu diaľkovo prihlásiť do vašich strojov a ako je tento prístup zabezpečený a zaznamenávaný. Štvrtý blok sa týka kontinuity: čo sa stane, ak výrobná linka stane pre technický problém alebo útok a ako rýchlo sa môžete obnoviť. Napokon sa objednávateľ často pýta na registráciu incidentov: zaznamenávate, keď sa niečo pokazí vo vašom výrobnom prostredí a kto vo vašej organizácii je o tom informovaný.
Kto chce skontrolovať, či sa jeho organizácia prostredníctvom dodávateľskej siete s takýmito otázkami stretáva a do ktorej kategórie spadá, nájde v niekoľko otázok, ktoré v priebehu niekoľkých minút dajú prvé indície východiskový bod pre toto vysvetlenie.
Staršie stroje nie sú vždy ľahko zodpovedateľné
Pre mnoho spoločností v tomto sektore nie je najťažšou otázkou samotná otázka, ale odpoveď na ňu. Stroj starý pätnásť rokov často beží na softvéri, ktorý sa už neaktualizuje, a výmena je drahá. Zoznam otázok potom nevyžaduje nevyhnutne výmenu tohto stroja, ale aby ste preukázali, že viete, kde sa riziko nachádza a aké opatrenia ste okolo neho prijali, napríklad umiestnením zariadenia do samostatného sieťového segmentu bez priameho pripojenia na internet.
Tento rozdiel — medzi "odstránením rizika" a "poznaním a riadením rizika" — je presne to, čo väčšinou hľadá objednávateľ. Samotná smernica a národné zákony, ktoré z nej vyplývajú, napríklad Zákon o kybernetickej bezpečnosti, popisujú tento druh opatrení starostlivosti v všeobecných podmienkach; regulačný orgán zároveň zverejňuje praktické vysvetlenia. Prehľad toho, čo tieto pojmy presne znamenajú, sa nachádza v témy, ktoré sú rozpracované pre jednotlivé situácie.
Vzdialený prístup ako samostatný bod pozornosti
Vzdialená údržba je v metalurgickom a výrobnom priemysle často nevyhnutná: dodávateľ stroja musí niekedy vedieť vzdialene sledovať prípadnú poruchu. Zoznamami otázok sa tu vedome venuje pozornosť, pretože ide o jeden z najbežnejších spôsobov, ako sa problém u jednej strany môže preniesť na druhú. Jasná odpoveď popisuje, kto má prístup, ako sa prístup udeľuje a odvoláva, a či sa vedie záznam o tom, kto sa kedy prihlásil.
Čo urobíte s prijatým zoznamom otázok
Zoznam otázok od objednávateľa je v prvom rade žiadosťou o prehľad, nie skúškou s pevným počtom bodov. Jasná odpoveď, aj keď to znamená, že opatrenie je ešte v procese vývoja, sa zvyčajne prijíma lepšie ako zoznam zaškrtnutí bez odôvodnenia. Pri otázkach o tom, čo má objednávateľ právo presne pýtať a aké sú hranice takejto otázky, je vhodné obrátiť sa na publikácie dohľadu alebo právnika; secria.eu pripravuje odpovede a dokumenty, ale nikdy nenahrádza zákazníka pri podávaní a registrácii.
Viac informácií o tom, ako sú tieto informácie zostavené a ktoré zdroje sa pritom používajú, nájdete na stránke, ktorá ukazuje, odkiaľ pochádza informácia. Odpovede na často kladené otázky o dotazníkoch a úlohe dodávateľov v reťazci nájdete v zbierke často kladených otázok.
Chcete vedieť, či vaša spoločnosť dostane tento typ dotazníkov prostredníctvom dodávateľského reťazca, alebo hľadáte vysvetlenie konkrétneho pojmu z dotazníka, ktorý ste už dostali? Bezplatné rýchle skenování a vedomostná základňa vám dajú prvú predstavu za pol hodiny, bez toho, aby ste na to potrebovali účet.