Riadenie prístupu znamená, že určíte, kto má prístup ku ktorým systémom, s ktorým účtom, a že sa ten prístup zruší, len čo sa niekto zmení na inej pozícii alebo odchádza. V metallurgii a obrábačskom priemysle nejde len o notebooky a e-mail, ale aj o stroje, PLC a výrobné linky, ktoré sú medzičasom pripojené na rovnakú sieť ako kancelárska automatizácia. Práve to rozhranie medzi IT a výrobou je tam, kde bezpečnostné fragenčné zoznamy často ďalej kopú.
Otázka sa objavuje v takmer každom fragenčnom zozname, pretože riadenie prístupu je jedným z desiatich opatrení, ktoré povinnosť starostlivosti podľa smernice NIS2 (článok 21) očakáva od povinných subjektov, a tie povinné subjekty prenášajú túto požiadavku cez zmluvu na svojich dodávateľov. Výrobca strojov alebo dodávateľ, ktorý sám nespadá pod NIS2, dostane otázku tak či tak, pretože zákazník musí byť schopný na ňu odpovedať.
Rozdiel medzi kanceláriou a výrobným pôdorysnom
V kancelárii sa riadenie prístupu zvyčajne nastavuje: jeden účet na zamestnanca, heslo, možno už druhý krok pri prihlásení. Na výrobnom pôdorysne je to často inak. Stroje bežia niekedy už roky s jedným zdieľaným účtom, technickým heslom, ktoré pozná každý, alebo s nastavením od dodávateľa, ktoré sa nikdy nezmenilo. To nie je neochota, vyrastlo to z praxe údržby a riešenia porúch. Regulačné orgány a výrobcovia sa pri tom nepozerajú na históriu, ale na súčasnú situáciu: existuje prehľad o tom, kto má prístup ku čomu, a je ten prehľad aktuálny.
Kto má prístup a ku čomu presne
Použitateľný prehľad odpovedá na tri otázky na systém: kto má účet, čo s ním môže robiť a je to ešte potrebné. Pre výrobné systémy to znamená mimo iného rozlíšenie medzi čítaním (čítanie stavu), obsluhou (spustenie alebo zastavenie linky) a programovaním (zmena nastavení alebo riadiaceho softvéru). Nie každý, kto obsluží stroj, musí vedieť meniť nastavenia, a nie každý, kto raz dostal prístup na projekt, tento prístup už potrebuje.
Externí technici a dodávatelia na diaľku
Veľa výrobných systémov je vzdialene udržiavaných dodávateľom stroja. To je funkčné, ale je to aj prístupová cesta, ktorá by mala byť zdokumentovaná: kto od dodávateľa sa môže prihlásiť, cez ktoré spojenie a či je táto spojenie otvorená len počas údržby alebo trvale. Výrobcovia tu často výslovne pýtajú, pretože otvená spojenie ku tretej strane je jeden z známejších spôsobov, ako sa incident u jedného môže presunúť na druhého. Hodnotenie týchto dodávateľov je mimochodom samostatný krok v povinnosti starostlivosti, oddelený od samotného riadenia prístupu.
Heslá a zdieľané účty
Zdieľané účty sú praktické, ale robia nemožným vidieť neskôr, kto čo urobil. Kde je to možné, účet na osobu je krok, ktorý fragenčné zoznamy berú ako východzí bod. Kde to na starších strojoch technicky nie je možné, odpoveď je často taká, že okolo toho existujú iné opatrenia, ako je obmedzený počet ľudí s fyzickým prístupom na ovládací panel. Fragenčný zoznam zriedka požaduje dokonalosť, skôr podloženú odpoveď.
Čo zdokumentujete, nie len čo vyriešite
Rozdiel medzi "je to vyriešené" a "je to preukázateľné" spočíva v zdokumentovaní: aktuálny zoznam účtov a práv, moment, kedy bol zoznam skontrolovaný, a meno zodpovedného za jeho vedenie. To je presne to, kde si živý dossier dokazuje svoju hodnotu, pretože na opatrenie zobrazuje stav, doklad a vlastníka namiesto voľného textu Word, ktorý už nikto neaktualizuje.
Kde sa to zmestí do väčšieho celku
Kontrola prístupu sa v zozname otázok zriedka vyskytuje samostatne. Zvyčajne sa kombinuje s otázkami o zálohách, o viacfaktorovom overovaní a o tom, čo sa stane pri výskyte bezpečnostnej udalosti. Ak organizácia ešte nevie, či bude cez svojho klienta čeliť požiadavkám NIS2, zvyčajne sa začína sektorom a úlohou v dodávateľskom reťazci, nie jednotlivými opatreniami.
So niekoľkými otázkami, ktoré ukazujú, kde sa vaša spoločnosť nachádza získate prvú indikáciu, a v knižnica poznatkov podľa témy nájdete ďalšie opatrenia, ktoré sa objavujú v rovnakých zoznamoch otázok. Ako udržiavame zdroje, ako sú smernica a národná legislatúva, si prečítajte na stránke o našom postupe. Ak si nie ste istí, ktorá otázka presne patrí k vašej situácii, pozrite si aj najčastejšie položené otázky.
NIS2-check a knižnica poznatkov je možné bezplatne konzultovať bez účtu. Ak chcete pokračovať, napríklad vedenie prehľadu podľa opatrení so stavom a zodpovednosťou, to patrí do dossiera za obchodným predplatným.