Politika dobaviteljev za instalacijsko dejavnost je pregled strank, s katerimi ste sami dejavni — podizvajači, samozaposleni, dobavitelji programske opreme za vašo načrtovanje ali sisteme upravljanja stavb — z oceno tveganja, ki ga vsaka stranka prinese. Za instalacijska podjetja je poudarek pogosto ne samo na digitalnem dostopu, ampak tudi na fizičnem dostopu: kdo dobi ključ, dostopno kartico ali prijavo v sistem upravljanja vašega naročnika.
To naredi instalacijsko dejavnost posebnim primerom. Medtem ko se programsko podjetje osredotoča predvsem na to, kdo ima dostop do izvorne kode, se instalacijsko podjetje osredotoča na to, kdo je v stavbi naročnika, na katero kabelsko napeljavo se dela in katere podatke o stavbi — načrti tlorisov, kode alarmov, registri dostopa — se pošiljajo podizvajačem. Politika dobaviteljev prenaša ta dva svetova, fizičnega in digitalnega, skupaj v enem pregledu.
Zakaj je to tudi brez lastne obveznosti relevantno
Instalacijska podjetja običajno ne sodijo sama pod obveznost varnostnih ukrepov Zakona o kibernetski varnosti. Vendar pa mora naročnik, ki je sam zavezanec — bolnišnica, energetsko podjetje, občina — oceniti svojo verige, kar pomeni, da gleda tudi na to, koga vi spet zaposlite. Podizvajač z neohranjenim prenosnim računalnikom, ki se prijavi v sistem upravljanja stavbe bolnišnice, je za tega naročnika tveganje, tudi če je pogodba formalno sklenjena z vami. Politika dobaviteljev pokaže, da poznate to verigo dajalca in jo upravljate, namesto da odgovor manjka, takoj ko pride vprašanje. pregledu tem po sektorjih.
Kaj je konkretno v politiki
Delovna politika dobaviteljev se začne s seznamom: kdo dela za vas, s kakšnim dostopom in kako je razmerje zajetno. Za instalacijska podjetja so to običajno tri vrste. Podizvajači in samozaposleni, ki delajo na lokaciji in pri tem dobijo fizičen dostop do stavb, omaric za ključe ali serverskih sob. Dobavitelji programske opreme za načrtovanje, obračun ali sisteme upravljanja stavb, ki na daljavo soglasno delujejo ali sodelujejo. In dobavitelji materialov ali opreme, ki jih včasih potrebujejo tudi lastno prijavo, npr. za registracijo garancije na daljavo.
Za vsako stranko je vprašanje, kakšna je smiselna kontrola: izjava, da se gesla ne delijo med zaposlenimi, dogovor o tem, kaj se zgodi z dostopnimi kodami po zaključku naloge, ali preprosto oseba za stike, ki jo lahko dosežete, če kaj ne stekla. Vsak dobavitelj ne zahteva enake globine — dobavitelj vijakov zahteva kaj drugega kot podizvajač, ki se s vašim računom prijavi v sistem upravljanja bolnišnice.
Podizvajači in dostop: točka, kjer pogosto kaj gre narobe
V instalacijski dejavnosti se dela s spremenljivimi podizvajači, včasih za eno nalogo, včasih strukturno. To otežuje upravljanje dostopa kot v podjetju s stalnim timom. Praktična začetna točka je preprosto vprašanje za vsakega podizvajača: dobi ta oseba lastno dostopno kartico ali ključ ali se dela s skupno kodo? Se ta dostop umakne, takoj ko je naloga končana, ali ostane aktiven, dokler ga nekdo ne blokira? In kdo v vašem podjetju je odgovoren za to umik?
Ta vprašanja so videti organizacijska, ne tehnična, vendar pa gre natanko za to, za kaj je politika dobaviteljev: ne za požarne zidove, ampak za to, kdo kam vstopi in zakaj. Za širše ukrepe glede dostopa v vašem podjetju je posebna analiza; ta članek se nanaša posebej na stranke zunaj vašega podjetja, ki jih vi sami zaposlite.
Kako začnete brez tega, da bi to postal letni projekt
Dobaviteljska politika ne mora biti na začetku popolna. Smiselno zaporedje je: začnite s strankami, ki imajo dostop do najbolj občutljivih okolij — sistemov upravljanja zgradb pri strankah iz kritičnih sektorjev ali programske opreme, ki jo lahko nadzirujete na daljavo. Za vsako stranko dokumentirajte, kaj veste, kaj je še treba preveriti in kdo se tega loti. To preglednico nato razširite na preostanek verige dobavitelja.
Ali in v kolikšni meri je to za vaše podjetje relevantno, je odvisno od sektorjev, v katerih so vaši kupci dejavni, in od narave vaše lastne dejavnosti. Kratka preverka pokaže, kje se vaše podjetje nahaja v verigiin baza znanja na secria.eu za vsako temo prikaže, kateri vir v uradnem besedilu je povezan s tem. Kako vzdrževamo te vire, je pojasnjeno na strani o našem delovanju.
Kaj ta članek ne nadomešča
Dobaviteljska politika je organizacijski dokument, ne pa pravno nasveto glede vaših specifičnih pogodb ali odgovornosti do podizvajalcev. Za vprašanja o tem je pravnik ali panožna organizacija primeren naslov. Pogosta vprašanja o obsegu zakona in vlogi dobaviteljev so zbrana na strani s pogosto zastavljanimi vprašanji.
Ali želite vedeti, kje se nahaja vaše lastno podjetje in kateri dobavitelji v vaši verigi zaslužijo prvo pozornost? Hitra preverka je brezplačna in v nekaj minutah daje prvo kazalko, brez da bi za to potrebovali račun.