Åtkomstkontroll innebär att du fastställer vem som får åtkomst till vilka system, med vilket konto, och att denna åtkomst återkallas så snart någon byter funktion eller lämnar företaget. I metall- och tillverkningsindustrin handlar det inte bara om bärbara datorer och e-post, utan även om maskiner, PLC:er och produktionslinjer som nu är anslutna till samma nätverk som kontorsautomatiseringen. Just denna gränsyta mellan IT och produktion är där säkerhetsenkäter ofta ställer följdfrågor.
Frågan återkommer i nästan varje enkät eftersom åtkomstkontroll är en av de tio åtgärder som skyddskravet enligt NIS2-direktivet (artikel 21) förväntar sig från reglerade organisationer, och dessa organisationer lägger sedan detta krav vidare på sina leverantörer via kontraktet. En maskinspabrikant eller underleverantör som själv inte faller under NIS2 får alltså samma fråga, eftersom en kund måste kunna få ett svar från dem.
Skillnaden mellan kontor och produktionsgolv
På kontoret är åtkomstkontroll vanligtvis redan inrättad: ett konto per anställd, ett lösenord, kanske redan ett andra steg vid inloggning. På produktionsgolvet ser det ofta ut annorlunda. Maskiner körs ibland med ett delat konto, ett tekniskt lösenord som alla känner till, eller en inställning från leverantören som aldrig har ändrats. Det är ingen ovilja, det har växt fram ur praktiken med underhåll och felsökning. Tillsynsmyndigheter och köpare ser inte på historiken, utan på den aktuella situationen: finns det en överblick över vem som kan göra vad, och är denna överblick aktuell.
Vem har åtkomst och till vad exakt
En användbar överblick besvarar tre frågor per system: vem har ett konto, vad får den personen göra med det, och är det fortfarande nödvändigt. För produktionssystem innebär det bland annat skillnad mellan att läsa status, att hantera (starta eller stoppa en linje) och att programmera (ändra inställningar eller styrsoftware). Inte alla som hanterar en maskin behöver kunna ändra inställningarna, och inte alla som någon gång fick åtkomst för ett projekt behöver den åtkomsten längre.
Externa montörer och leverantörer på distans
Många produktionssystem underhålls på distans av maskinleverantören. Det är funktionellt, men det är också en åtkomstsökväg som måste dokumenteras: vem från leverantören kan logga in, via vilken anslutning, och står denna anslutning endast öppen under underhållet eller permanent. Köpare frågar ofta explicit om detta, eftersom en öppen anslutning till en tredje part är ett av de mer kända sätten som en säkerhetshändelse hos en part kan fortplanta sig till en annan. Bedömningen av dessa leverantörer är för övrigt ett separat steg i skyddskravet, åtskilt från själva åtkomstkontrollen.
Lösenord och delade konton
Delade konton är praktiska, men de gör det omöjligt att i efterhand se vem som gjorde vad. Där det är möjligt är ett konto per person det steg som enkäter tar som utgångspunkt. Där det på äldre maskiner tekniskt inte är möjligt är svaret ofta att det finns andra åtgärder runt omkring, såsom ett begränsat antal människor med fysisk åtkomst till kontrollpanelen. En enkät frågar sällan om perfektion, men väl om ett väl underbyggt svar.
Det du dokumenterar, inte bara det du ordnar
Skillnaden mellan "det är ordnat" och "det är påvisbart" ligger i dokumentationen: en aktuell lista över konton och rättigheter, en tidpunkt då denna lista kontrollerades, och ett namn som ansvarar för att hålla den uppdaterad. Det är precis där ett levande register visar sitt värde, eftersom det per åtgärd visar en status, ett bevisstycke och en ansvarig person i stället för ett löst Word-dokument som ingen uppdaterar längre.
Var detta passar in i det större sammanhanget
Åtkomstövervakning står sällan för sig själv i en enkät. Det kombineras vanligtvis med frågor om säkerhetskopior, om flerfaktorsautentisering och om vad som händer om en säkerhetshändelse inträffar. Den som ännu inte vet om den egna organisationen genom en kund kommer att handla med NIS2, börjar vanligtvis med sektorn och rollen i leverantörskedjan, inte med de enskilda åtgärderna.
Med ett par frågor som visar var ert företag står får ni en första indikation, och i kunskapsdatabasen per ämne hittar ni de övriga åtgärder som återkommer i samma enkäter. Hur vi håller reda på källor som direktivet och den nationella lagstiftningen läser ni på sidan om vår arbetsmetod. Om ni är osäker på vilken fråga som exakt passar er situation, titta också på de vanligaste frågorna.
NIS2-kontrollen och kunskapsbasen kan konsulteras gratis, utan konto. Vill ni gå vidare, till exempel föra ett register över varje åtgärd med status och ansvarig, då hör det till dossieren bakom ett affärsprenumeration.