Riadenie prístupu znamená, že dokážete preukázať, kto má prístup ku ktorým systémom, priestorom alebo údajom, a že sa tento prístup zruší, akonáhle ho osoba už nepotrebuje. Pre inštalačnú firmu ide ďalej ako len o politiku hesiel na kancelárii: ide aj o kľúče od klientskych priestorov, identifikačné karty do technických miestností a vzdialený prístup k systémom riadenia budov, ktoré vaši technici údržbujú.
Dôvod, prečo sa táto téma neustále objavuje v bezpečnostných dotazníkoch, je jednoduchý: technik, ktorý sa bez hesla môže prihlásiť do regulácie vykurovania, alebo bývalý zamestnanci, ktorí majú kľúč do serverovne, sú presne ten typ rizika, na ktorý musí zraniteľný objednávateľ dávať pozor. Kto odpovedá na túto otázku so zdvihnutím pliec, stratí zmluvu skôr ako ten, kto dokáže dať krátku, čestný odpovedzu.
Dva typy prístupu, jeden register
V inštalačnej firme sa prelínajú dva svety. Na jednej strane je prístup k vašim vlastným systémom: administratíva, plánovací software, poštová schránka. Na druhej strane je fyzický a digitálny prístup u klienta: kľúče, kódy alarmov, VPN pripojenia k systému riadenia budov, prihlásovacie účty na reguláciu klímy, ktorá sa spravuje na diaľku.
Obe kategórie spadajú pod rovnakú otázku: kto tu má prístup a prečo. Aktuálny register, v ktorom sa pre každý systém alebo pre každý zväzok kľúčov uvádza, kto má prístup, od kedy a kto to schválil, je pre väčšinu inštalačných firiem už dostatočný na odpoveď na túto otázku. Nemusí to byť komplikovaný systém; prehľad, ktorý je správny a ktorý môžete predložiť, má väčšiu váhu ako rozsiahla politika, ktorú nikto nedodržiava.
Kľúče a identifikačné karty: zabudnutá časť riadenia prístupu
Mnohé inštalačné firmy si pri riadení prístupu okamžite myslia na prihlásovacie údaje a zabudnú na fyzickú stránku. Zväzky kľúčov z klientskych miest, identifikačné karty do technických miestností a kódy z alarmov sú prístup rovnako ako heslo a zaslúžia si rovnakú disciplínu: zaznamenajte si, kto má ktorý kľúč, kedy bol vydaný a kedy sa bude vzad požadovať alebo zrušiť.
Často sa to stane viditeľným až keď sa niečo pokazí: technik, ktorý odchádza zo služby, má však vo vozidlá zväzok kľúčov od troch klientov, alebo podľahnutie, ktoré po dokončení projektu stále môže prihlásiť správcovský účet. Klient, ktorý vám túto otázku položí prostredníctvom bezpečnostného dotazníka, chce hlavne vedieť, či takéto situácie systematicky predchádzate, nie či sa niekedy niečo pokazilo.
Vzdialený prístup k systémom u klienta
Inštalačné firmy, ktoré na diaľku sledujú alebo zasahujú do systémov u klienta, napríklad pri diagnostike porúch v klimatizačnej inštalácii alebo energetickom systéme riadenia, často potrebujú svoju cestu prístupu: VPN, pripojenie k vzdialennej ploche alebo vlastnú platformu dodávateľa. Táto cesta prístupu je presne ten typ spojenia, na ktorý sa pýta zodpovedný objednávateľ, pretože slabina u vás sa môže priamo premetnúť na riziko u nich.
Otázky, ktoré sa tu často objavujú, sa týkajú viacnásobného overenia na tomto vzdialeného prístupu, o tom, kto účty spravuje, a čo sa stane, keď sa stratí notebook s týmto prístupom. Nie je potrebné mať na každú otázku podrobný technický odpovedzu; je potrebné vedieť, kto vo vašej organizácii takýto prístup udeľuje a opäť ho rušiť, a je to niekde zadokumentované.
Kde sa to hodí do širšieho obrázku
Riadenie prístupu je jedným z opatrení, ktoré spadajú pod povinnosť starostlivosti, a táto povinnosť zvyčajne nemá dopad na inštalačné firmy, pretože sú samy viazané zákonom, ale pretože objednávateľ, ktorý je viazaný, si to od nich vypýta. Kto ešte nevie, či sa to týka vlastnej situácie, môže to vidieť v niekoľkých otázkach. Pre tých, ktorí už dostali otázku a chcú vedieť, ako sa riadenie prístupu vzťahuje na ostatných deväť opatrení, je k dispozícii kompletný prehľad rozpracovaný podľa témy.
Nie je na dodávateľovi platformy ako secria.eu, aby určil, čo je v špecifickom vašom prípade dostatočné; to zostáva posúdením, ktoré je na vás alebo v prípade pochybností na právnika alebo príslušný dozorný orgán. Čo je však vhodné urobiť: viesť čestný a aktuálny prehľad o tom, kto a kde môže pristúpiť, aby bezpečnostný dotazník nebol prekvapením, ale formulárom, ktorý môžete vyplniť v priebehu niekoľkých minút. Viac o tom, ako sa taký prehľad v praxi buduje, je popísané na stránke, ktorá ukazuje odkiaľ pochádzajú informácie v dossier.
Chcete najprv vidieť, či je táto téma pre vašu organizáciu relevantná, a čo presne dossier obsahuje? Vykonajte bezplatnú rýchlu analýzu alebo si prehľadajte témy; obe je možné konzultovať bez účtu a ihneď vám poskytnú konkrétnu odpoveď.