Incident v branši instalacijskih del ni vedno hakiran prenosnik. Prav tako pogosto je to monter, ki se prijavi v stavbni sistem upravljanja stranke z napačnim računom, szef za ključe, ki ni pravilno zaprt, ali načrtovalec, ki klikne na phishing povezavo, na katero se izpostavi geslo stranke. Kaj beležite, je za vsako od teh situacij v bistvu enako: kdaj je bilo odkrito, kaj se je točno zgodilo, kdo je bil vpleten, dostop je bil v igri, kakšno dejanje je bilo sprejeto in kdo je bil obveščen.
Ta zapis je nekaj drugega kot prijava nadzornemu organu. Notranji register incidentov je stalna dnevnik, ki ga sami vodite, ne glede na to, ali je incident prijavljen. Za organizacije, ki same spadajo pod Direktivo NIS2, se ta register uvršča med odgovornost iz članka 21. Za veliko večjo skupino instalacijskih podjetij, ki sama ni zavezana, vendar je ocenjena kot dobavitelj, je register pogosto ravno tisto, kar je vprašalnik o varnosti naročnika: ali lahko pokažete, da prepoznate, beležite in sledite incidentom? Ali ste sami zavezani ali samo dosegljivi preko verige, lahko preverite z nekaj vprašanji, ki pokažejo vašo pozicijo v verigi.
Kaj sodi v register
Uporaben register incidentov vsebuje za vsak dogodek datum in čas odkritja, kratek opis tega, kar je bilo vidjeno ali prijavljeno, in ime osebe, ki ga je opazila ali prijavila. Poleg tega zabeležite, kateri sistem, katera lokacija ali katera stranka je prizadeta, in kakšen dostop je pri tem igral vlogo: skupno geslo, fizični ključ, dostopna kartica, VPN povezava v omrežje stranke. Nato zabeležite, kakšno dejanje je bilo sprejeto, kdo je bil zanj odgovoren, in ali in kdaj je bila stranka ali lastna organizacija obveščena. Na koncu pravilo o zaključku: je incident razrešen in se je kaj spremenilo kot posledica.
To zadnje pravilo se pogosto preskoči, medtem ko nadzorni organi in naročniki prav to preučijo. Register, ki samo sešteva prijave, ne pove kaj dosti. Register, v katerem je videti, da je ponavljajoči se problem priveden do spremembe v delovnem postopku, kaže, da se organizacija iz tega uči.
Posebna situacija monterjev na terenu
Kar loči branšo instalacijskih del od denimo programskega podjetja, je, da dostop redko velja samo digitalno. Monter, ki se mora odpraviti k stranki, ima pogosto tako fizični ključ ali kartico kot digitalni račun za stavbni sistem upravljanja, alarm ali klimatsko napravo. Incident se torej lahko pojavi, ker je ključ izgubljen, ker račun starega zaposlenega ni bil preklican, ali ker je prenosnik s shranjenimi poverilniki ukraden iz avtobusa. V registru ta razlika ni tako važna: vedno gre za isto vprašanje, in sicer kdo je imel dostop v katerem trenutku in ali je bil še upravičen.
To se neposredno dotika upravljanja dostopa: kdo sme dostopati do katerih sistemov in ključev ter ali je ta pregled na dan. Register incidentov brez tekoče popisa dostopa je težko dokončati, ker si morate pri vsakem incidentu ponovno razjasniti, kdo je smel kje. Tekoči pregled ukrepov, stanj in lastnikov, kot ga ohranja cyber-dossier, naredi to reševanje nepotrebno.
Vsak incident ne zahteva enake obravnave
Tudi materialno merilo ima pomen: izgubljeno opomnik gesla, ki je bil takoj opažen in spremenjen, je drugačne teže kot nepooblaščeni dostop do sistema stranke, ki se pojavi šele po tednih. Smernica in nacionalna zakonodaja razlikujejo med resnimi varnostnimi incidenti in manjšimi primeri, nadzorni organi pa pri tem gledajo na vpliv na zagotavljanje storitev in na stranko. Fiksni del vaše lastne ocene je zato tudi to: ali ta incident vpliva le na delovanje lastnega podjetja ali tudi na sisteme ali podatke stranke. V slednjem primeru se obveznost obveščanja te stranke hitro pojavi, neodvisno od vprašanja, ali obstaja tudi zakonska obveznost prijave.
Katere roke in pragove natančno veljajo, se razlikuje glede na situacijo in državo, v kateri ste dejavni. Za natančno besedilo in mesto najdbe vas napotujemo na uradne vire, za vašo lastno situacijo pa na pravnika ali pristojni nadzorni organ. Pregled, kako si sledimo virom in od kod prihajajo, je na voljo na strani, kjer je pojasnjeno naše delovanje.
Kaj to pomeni v praksi
Inštalacijsko podjetje, ki lahko pokaže, kako se incident evidentira in sledi, daje naročniku nekaj konkretnega v roke pri odgovoru na vprašalnik za varnost, in ima samo sebi naslovnik za primerke, ko se stvar spet zgodi. Kdor še nima stalnega obrazca za ta register, najde izhodišče in priloženo razlago na pregledu vsebin po situacijiin pogosto zastavljena vprašanja o tem, kaj se v takem registru popisuje in kaj ne, so zbrana na strani s pragmatičnimi odgovori na ponavljajoča se vprašanja.
Po želji začnite z brezplačno hitro preverko: v nekaj vprašanjih vidite, ali vaša organizacija sami pada pod zakon, je prizadeta preko oskrbne verige ali nobeno od tega, s pojasnitvijo za vsak rezultat.