Åtkomstbehör innebär att du kan påvisa vem som får tillgång till vilka system, utrymmen eller data, och att denna åtkomst återkallas så snart någon inte längre behöver den. För ett installationsföretag går det längre än en lösenordsprincip på kontoret: det handlar också om nycklar till kundens lokaler, märken för tekniska utrymmen och fjärråtkomst till byggnadsautomationssystem som dina montörer underhåller.
Anledningen till att detta ämne kontinuerligt dyker upp i säkerhetsfrågeformulär är enkel: en montör som kan logga in på en värmereglering utan lösenord, eller en tidigare anställd som fortfarande kan öppna en serverrumsvägg med en nyckel, är precis den typ av risk som en uppdragsgivares skyddsplikt måste uppmärksamma. Den som svarar på denna fråga med ett axelzuckande förlorar ett kontrakt snabbare än någon som kan ge ett kort, ärligt svar.
Två typer av åtkomst, ett register
På ett installationsföretag flyter två världar ihop. Å ena sidan finns åtkomst till dina egna system: administrationen, planeringsmjukvaran, postlådan. Å andra sidan finns fysisk och digital åtkomst hos kunden: nycklar, larmkoder, VPN-anslutningar till ett byggnadsautomationssystem, inloggningskonton på en klimatreglering som hanteras på avstånd.
Båda faller under samma fråga: vem får åtkomst, och varför. Ett levande register där det per system eller nyckelsamling framgår vem som har åtkomst, sedan när och vem som har godkänt det, räcker för de flesta installationsföretag för att svara på denna fråga. Det behöver inte vara ett komplicerat system; en översikt som stämmer och som du kan visa väger tyngre än en omfattande policy som ingen följer.
Nycklar och märken: den glömda delen av åtkomstbehör
Många installationsföretag tänker på åtkomstbehör som omedelbar på inloggningsuppgifter och glömmer den fysiska sidan. Nyckelsamlingar från kundens lokaler, märken för tekniska utrymmen och koder för alarmsystem är lika mycket åtkomst som ett lösenord och förtjänar samma disciplin: dokumentera vem som har vilken nyckel, när den utdelades och en fastställd tidpunkt då den återkrävas eller återkallas.
Detta blir ofta först synligt när något går fel: en montör som slutar men fortfarande har en nyckelsamling från tre kunder i bilen, eller en underentreprenör som efter projektets slut fortfarande kan logga in på ett administratörkonto. En kund som ställer denna fråga till dig via ett säkerhetsfrågeformulär vill i första hand veta om du systematiskt förebygger den här typen av situationer, inte om något någonsin har gått fel.
Fjärråtkomst till system hos kunden
Installationsföretag som på avstånd övervakar eller ingriper i system hos kunden, till exempel för felsökning av en klimatinstallation eller ett energihanteringssystem, behöver ofta en egen åtkomstsväg: ett VPN, en fjärrskrivbordsanslutning eller en leverantörsspecifik plattform. Denna åtkomstsväg är precis den typ av länk som en uppdragsgivare med en skyddsplikt frågar om, eftersom en svag punkt hos dig direkt kan översättas till en risk hos dem.
Frågor som ofta dyker upp här handlar om flerfaktorsverifiering på denna fjärråtkomst, om vem som hanterar kontona och vad som händer om en bärbar dator med denna åtkomst blir stulen. Det är inte nödvändigt att ha ett omfattande tekniskt svar på varje fråga; men det är nödvändigt att veta vem i din organisation som ger och återkallar denna typ av åtkomst, och att dokumentera det någonstans.
Var detta passar in i den större bilden
Åtkomsthantering är en av de åtgärder som omfattas av omsorgsplikt, och denna omsorgsplikt påverkar vanligtvis inte installationsföretag själva eftersom de själva faller under lagen, utan för att en uppdragsgivare som det gör kan kräva det av dem. Den som ännu inte vet om detta gäller för sin egen situation kan se det på ett par frågor. För den som redan har fått frågan och vill veta hur åtkomsthantering förhåller sig till de andra nio åtgärderna finns en komplett översikt utarbetad per ämne.
Det är inte upp till en leverantör av en plattform som secria.eu att avgöra vad som är tillräckligt i ditt specifika fall; det förblir en bedömning som ligger hos dig själv eller, vid tvivel, hos en jurist eller den behörig tillsynsmyndighet. Det som går att göra är: att upprätthålla en ärlig och aktuell översikt över vem som har åtkomst var, så att en säkerhetsfrågelista inte längre är en överraskning utan ett formulär som du kan fylla i på ett par minuter. Mer om hur en sådan översikt byggs upp i praktiken beskrivs på sidan som visar var informationen i dossien kommer ifrån.
Vill du först se om detta ämne är relevant för din organisation och vad ett dossie exakt innehåller för detta ämne? Gör den kostnadsfria snabbscanningen eller bläddra igenom ämnena; båda kan konsulteras utan konto och ger omedelbar ett konkret svar.