Vprašalnik stranke v metalurški in predelovalni industriji se skoraj vedno vrti okrog iste teme: kako je vaše proizvodno okolje zaščiteno, kaj se zgodi, če je to okolje prizadeto z izpadom ali napadom. To ni naključje. Stroji, operacijski sistemi in merilna oprema so vse pogosteje povezani v isto omrežje kot pisarniška avtomatizacija, in prav ta povezava med proizvodnjo in IT je tisto, kar stranko zanima.
Vprašanja se razlikujejo od stranke do stranke, vendar so kategorije presenetljivo konstantne: katere sisteme ste identificirali, je vaše proizvodno omrežje ločeno od pisarne, kako se spopadaš s starimi stroji, kdo ima oddaljen dostop za vzdrževanje, in kaj storite, če se proizvodna linija ustavi zaradi izpada. Kdor te kategorije prepozna, ne bo imel vprašalnika za presenečenje.
Zakaj je proizvodno okolje na sredini pozornosti
Podjetje za obdelavo kovin ali tovarna strojev teče na opremi, ki pogosto traja leta ali desetletja: CNC-stroji, PLC-ji, SCADA-sistemi. Ta oprema je redko zasnovana z mislijo na internetno povezavo, a se v praksi vseeno priključi, na primer za oddaljeni nadzor ali prenos proizvodnih podatkov. Stranka, ki je sama podvržena dolžnosti skrbnosti v skladu z Direktivo NIS2, mora oceniti, katera tveganja prinašajo njeni dobavitelji. Proizvodno okolje, ki je priključeno v omrežje brez jasne ločitve od preostalega sistema, je zato očiten predmet pozornosti.
To pojasnjuje, zakaj vprašalniki v tem sektorju pogosteje kot drugod sprašujejo o razliki med IT (pisarniško okolje) in OT (operacijsko tehnologijo, proizvodni sistemi). Splošno vprašanje, kot je »ali imate informacijsko varnostno politiko«, se v metalurški in predelovalni industriji skoraj vedno dopolni s specifičnejšim: »je vaše proizvodno omrežje logično ali fizično ločeno od vašega pisarniškega omrežja«.
Vprašanja, ki se skoraj vedno ponavljajo
V vprašalnikih dobaviteljem v tem sektorju se nekaj tem ponavljata izjemno pogosto. Najprej pregled: ali imate trenutni seznam vseh sistemov, povezanih s vašim proizvodnim okoljem, vključno s stroji, ki jih proizvajalec ne podpira več. Nato ločitev omrežij in vprašanje, ali obstaja ločen segment za sisteme, ki jih ni mogoče več popraviti.
Tretji ponovljeni blok je o oddaljenem dostopu: kateri dobavitelji ali serviserji se lahko oddaljeno prijavijo v vaše stroje, in kako je ta dostop zavarovan in evidentiran. Četrti blok je o kontinuiteti: kaj se zgodi, če se proizvodna linija ustavi zaradi tehnične težave ali napada, in kako hitro lahko nadaljujete. Nazadnje vprašalnik stranke pogosto sprašuje o registraciji dogodkov: ali beležite, kdaj se kaj narobe v vašem proizvodnem okolju, in kdo v vaši organizaciji je o tem obveščen.
Kdor želi preveriti, ali njegova organizacija prek verige s tovrstnimi vprašanji dobiva in v katero kategorijo spada, najde nekaj vprašanj, ki v nekaj minutah dajo prvo nakazijo izhodišče za to razlago.
Starejši stroji niso vedno preprosto odgovoreni
Za številna podjetja v tej panogi ni najtežje samo vprašanje samo po sebi, temveč odgovor nanj. Stroj star petnajst let pogosto teče na programski opremi, ki se ne posodablja več, zamjena pa je draga. Vprašalnik torej ne prosi nujno za zamenjavo tega stroja, temveč da pokažete, da veste, kje se nahaja tveganje in katere ukrepe ste sprejeli, na primer z namestitvijo naprave v ločen omrežni segment brez neposredne povezave na internet.
To razlikovanje — med »odpravo tveganja« in »poznavanjem in obvladovanjem tveganja« — je ravno to, kar mora naročnik običajno iskati. Sama direktiva in nacionalni zakoni, ki izhajajo iz nje, kot je Zakon o kibernetski varnosti, opisujejo takšne ukrepe skrbnosti na splošnih poteh; nadzorni organ poleg tega objavlja praktična navodila. Pregled tega, kaj ta pojma natančno pomenita, je v temami, ki so razdelane po situaciji.
Oddaljen dostop kot posebna točka pozornosti
Oddaljen servis je v metalski in proizvodnji proizvodnji pogosto neizbežen: dobavitelj stroja mora včasih na daljavo spremljati motnje. Vprašalniki namerno posvečajo pozornost temu, ker je to eden najpogostejših načinov, kako se težava pri eni stranki lahko razširi na drugo. Jasen odgovor opisuje, kdo ima dostop, kako se mu dostop odobri in odvzame ter ali se vodi dnevnik tistih, ki so se prijavili in kdaj.
Kaj storite z vprašalnikom, ki ga prejmete
Vprašalnik naročnika je v prvi vrsti prošnja za vpogled, ne izpit s fiksno lestvico točk. Jasen odgovor, tudi če to pomeni, da se ukrep še vedno razvija, je navadno bolje sprejet kot seznam kljukic brez utemeljitve. Za vprašanja o tem, kaj lahko naročnik res vprašuje in kako daleč se lahko ta vprašanja raztegujejo, je priporočljivo posvetovati se s publikacijami nadzornega organa ali vključiti pravnika; secria.eu pripravi odgovore in dokumente, vendar nikoli ne prijavljuje in ne registrira namesto odjemalca.
Več ozadja o tem, kako so te informacije sestavljene in kateri viri so bili uporabljeni, je na strani, ki prikazuje, od kje izhajajo informacije. Odgovore na pogosta vprašanja o vprašalnikih in vlogi dobaviteljev je mogoče najti prek zbirke pogostih vprašanj.
Ali želite vedeti, ali se bo vaše podjetje srečalo s tovrstnimi vprašalniki prek verige dobave, ali pa iščete razlago določenega izraza iz vprašalnika, ki ste ga že prejeli? Brezplačni hiter pregled in baza znanja v pol ure dajeta prvi pregled, brez potrebe po računu.