Nadzor dostopa pomeni, da določite, kdo sme dostopati do katerih sistemov, s katerim računom, in da se ta dostop odvzame takoj, ko oseba zamenja delovno mesto ali zapusti podjetje. V kovinski in predelovalni industriji ne gre samo za prenosnike in e-pošto, temveč tudi za stroje, krmilnike in proizvodne linije, ki so medtem priključeni na isto omrežje kot pisarniška avtomatizacija. Prav ta stik med IT in proizvodnjo je tista točka, ki jo varnostni vprašalniki pogosto preverjajo.
Vprašanje se pojavi v skoraj vsakem vprašalniku, ker je nadzor dostopa ena od desetih ukrepov, ki jih Direktiva (EU) 2022/2555 (člen 21) pričakuje od subjektov, ki imajo obveznosti, in ti subjekti to zahtevo prek pogodbe prenašajo na svoje dobavitelje. Torej proizvajalec strojev ali dobavitelj, ki sam ne spada pod Direktivo (EU) 2022/2555, vseeno dobi to vprašanje, ker mora kupec nanj lahko odgovori.
Razlika med pisarno in proizvodno halo
V pisarni je nadzor dostopa navadno urejen: en račun na delavca, geslo, morda že drugi korak pri prijavi. Na proizvodnji je to pogosto drugače. Stroji teče včasih že leta z enim skupnim računom, tehnično geslo, ki ga vsi poznajo, ali nastavitev dobavitelja, ki se nikoli ni spremenila. To ni neopravičena zavleka, temveč je izraslo iz prakse vzdrževanja in odpravljanja napak. Nadzorniki in naročniki pri tem ne gledajo na zgodovino, temveč na sedanjo stanje: obstaja pregled, kdo kaj sme početi, in je ta pregled aktualen.
Kdo ima dostop in do česa natanko
Uporaben pregled odgovori tri vprašanja na sistem: kdo ima račun, kaj sme ta oseba početi z njim, in je to še vedno potrebno. Za proizvodne sisteme to pomeni med drugim razlikovanje med opazovanjem (branjem stanja), upravljanjem (zagon ali zaustavitev linije) in programiranjem (spreminjanje nastavitev ali programske opreme za upravljanje). Ne vsak, ki upravlja stroj, mora moči spremeniti nastavitve, in ne vsak, ki je kdaj dobil dostop za projekt, ta dostop še potrebuje.
Zunanji serviserji in dobavitelji na daljavo
Mnogi proizvodni sistemi se vzdržujejo na daljavo s strani dobavitelja stroja. To je funkcionalno, toda je tudi dostopna pot, ki jo je treba dokumentirati: kdo pri dobavitelju se lahko prijavi, prek katere povezave, in je ta povezava odprta samo med vzdrževanjem ali trajno. Naročniki to pogosto eksplicitno vprašajo, ker je odprta povezava do tretje osebe eden od bolj znanih načinov, kako se incident pri enem lahko razširi na drugega. Presoja teh dobaviteljev je sicer ločen korak v obveznostih, narazen od samega nadzora dostopa.
Gesla in skupni računi
Skupni računi so praktični, vendar onemogočajo, da bi pozneje videli, kdo je kaj naredil. Kjer je mogoče, je račun na osebo korak, ki ga vprašalniki vzamejo kot izhodišče. Kjer to na starejših strojih tehnično ni mogoče, je odgovor pogosto, da obstajajo drugi ukrepi, na primer omejen število ljudi s fizičnim dostopom do upravljalnega pulta. Vprašalnik redko zahteva popolnost, temveč utemeljeni odgovor.
Kaj beležite, ne samo kaj urejalate
Razlika med "to je urejeno" in "to je dokazljivo" je v zapisih: sodoben seznam računov in pravic, trenutek, ko je bil ta seznam preverjen, in ime osebe, ki je odgovorna za njegovo vzdrževanje. To je točno tam, kjer dokazuje svojo vrednost živajoči dosje, ker prikaže na ukrep status, dokazni dokument in lastnika namesto labavega besedila v Wordu, ki ga nihče več ne sprotivodi.
Kam se to umešča v celotno sliko
Nadzor dostopa redko stoji sam v vprašalniku. Običajno je kombiniran z vprašanji o varnostnih kopijah, o večstopenjski preverjanju istovetnosti in o tem, kaj se zgodi, če se zgodi varnostni incident. Kdor še ne ve, ali bo njegova organizacija prek stranke soočena z NIS2, običajno začne s sektorjem in vlogo v dobavni verigi, ne z posameznimi ukrepi.
Z nekaj vprašanji, ki pokažejo, kje stoji vaše podjetje dobite prvo napoved, in v baza znanja po temah najdete druge ukrepe, ki se pojavljajo v istih vprašalnikih. Kako spremljamo vire, kot sta direktiva in nacionalna zakonodaja, si preberite na strani o našem delovanju. Če dvomite, katero vprašanje točno sodi v vašo situacijo, poglejte tudi pogosto postavljena vprašanja.
NIS2-preverjanje in banka znanja sta brezplačna za preugled brez računa. Če želite nadaljevati, na primer voditi pregled po ukrepu z rezultatom in lastnikom, je to del dossierja za poslovnim naročnino.