Ένα επαγγελματικό σύστημα ασφαλείας δεν ορίζεται από την ύπαρξη περισσότερων συσκευών, ενός πιο ακριβού πίνακα ή μιας απομακρυσμένης υπηρεσίας στην πρόταση. Είναι ένα έργο που παραδίδεται με σαφή σχεδιασμό, συγκεκριμένες αρμοδιότητες, αποδεικτικά στοιχεία επαλήθευσης και ένα χρησιμοποιήσιμο αρχείο παράδοσης.
Αυτή η διάκριση έχει σημασία πριν αναλάβει ένας αγοραστής δέσμευση. Ένα σύστημα μπορεί να περιέχει καλά στοιχεία και να είναι δύσκολο στη λειτουργία του εάν κανείς δεν έχει συμφωνήσει ποιος είναι ο κίνδυνος της τοποθεσίας, ποιος είναι ο κάτοχος της διαμόρφωσης, τι δοκιμάστηκε ή πώς θα αντιμετωπιστεί ένα μεταγενέστερο σφάλμα ή αλλαγή.
Το επαγγελματικό κομμάτι είναι το μοντέλο παράδοσης
Για ένα μικρό εργοτάξιο, μια επαγγελματική παράδοση μπορεί να είναι απλή. Για ένα εργοτάξιο πολλαπλών περιοχών, μπορεί να είναι πιο λεπτομερής. Και στις δύο περιπτώσεις, ισχύει το ίδιο ερώτημα: μπορεί ο αγοραστής να παρακολουθήσει το έργο από την εισαγωγή του εργοταξίου έως ένα αποδεκτό αρχείο λειτουργίας;
Χρησιμοποιήστε αυτήν τη διαδρομή για να ελέγξετε μια πρόταση:
- Εισροές έργου — καταγράψτε τον χώρο, τα σημεία εισόδου, τις προστατευόμενες περιοχές, τις ώρες λειτουργίας, τα άτομα που χρειάζονται πρόσβαση, τους υφιστάμενους περιορισμούς και τον στόχο της αντιμετώπισης.
- Σχεδιασμός συστήματος — να δείχνουν πώς οι αποφάσεις για συσκευές, επικοινωνίες, ισχύ, κάλυψη και υπηρεσίες σχετίζονται με αυτά τα δεδομένα εισόδου.
- Εγκατάσταση και διαμόρφωση — προσδιορίστε τον εγκατεστημένο εξοπλισμό, τις τοποθεσίες, τις ρυθμίσεις που έχουν σημασία για το συμφωνημένο πεδίο εφαρμογής και το άτομο που είναι υπεύθυνο για τη διαμόρφωση.
- Αποδοχή — δοκιμή των συμφωνημένων συναρτήσεων και καταγραφή του αποτελέσματος, των εξαιρέσεων και τυχόν εκκρεμών ενεργειών.
- Λειτουργία και αλλαγή — διατηρήστε τις επαφές, τα αρχεία παράδοσης και μια διαδικασία για μεταγενέστερες αλλαγές, αντικατάσταση ή κλιμάκωση σφάλματος.
Αυτό είναι ένα πλαίσιο μηχανικής και υλοποίησης, όχι ένας ισχυρισμός ότι κάθε έργο χρειάζεται την ίδια τεχνολογία ή υπηρεσία. Οδηγίες μηχανικής ασφάλειας συστημάτων NIST Ομοίως, αντιμετωπίζει τις ανάγκες, τις απαιτήσεις, την επαλήθευση και τα στοιχεία του κύκλου ζωής των ενδιαφερόμενων μερών ως συνδεδεμένες δραστηριότητες και όχι ως μια εφάπαξ επιλογή προϊόντος.
Ξεκινήστε με ευθύνες, όχι με μια λίστα συσκευών
Πριν από τη σύγκριση μιας πρότασης, ρωτήστε κάθε μέρος τι κατέχει. Μια σαφής απάντηση εμποδίζει τον προμηθευτή συσκευών να αναλάβει την παροχή μιας επιτόπιας έρευνας, τον εγκαταστάτη να αναλάβει την παροχή μιας υπηρεσίας ή τον αγοραστή να αναλάβει ευθύνες πρόσβασης και αλλαγής που δεν ανέμενε.
| Ρόλος | Θα πρέπει να είναι σαφές πριν από τη δέσμευση | Αποδεικτικά στοιχεία προς αίτημα |
|---|---|---|
| Αγοραστής ή κάτοχος ιστότοπου | Προτεραιότητες τοποθεσίας, υπεύθυνοι λήψης αποφάσεων πρόσβασης, λειτουργικοί περιορισμοί, αρχή αποδοχής και ποιος τηρεί τα αρχεία. | Συμφωνημένο πεδίο εφαρμογής, καθορισμένη επαφή αποδοχής και αρχείο αλλαγής/επαφής. |
| Εγκαταστάτης ή ολοκληρωτής | Μέθοδος επιθεώρησης, υποθέσεις σχεδιασμού, πεδίο εφαρμογής εγκατάστασης/διαμόρφωσης, σχέδιο δοκιμών και μέθοδος παράδοσης. | Αρχείο τοποθεσίας/σχεδιασμού, λίστα δοκιμών, λίστα εξαιρέσεων και αρχείο παράδοσης. |
| Προμηθευτής συσκευών | Τρέχουσα τεκμηρίωση προϊόντος, δηλωμένη οδός υποστήριξης και τα όρια των πληροφοριών προϊόντος. | Τρέχον εγχειρίδιο/προδιαγραφές, έλεγχος έκδοσης/περιοχής όπου χρειάζεται, επικοινωνία με την υποστήριξη. |
| Πάροχος παρακολούθησης ή απόκρισης, εάν περιλαμβάνεται | Συμβατικό πεδίο εφαρμογής υπηρεσίας, ευθύνη εγγραφής, επαφές, μέθοδος δοκιμής και όροι κλιμάκωσης. | Συμφωνία παροχής υπηρεσιών, ονομαστική επαφή, αποδεικτικά στοιχεία δοκιμής και συμφωνημένη οδός κλιμάκωσης. |
Ο πίνακας δεν αναθέτει νομική ευθύνη. Αυτό καθορίζεται από την τοπική νομοθεσία, τη σύμβαση και το πραγματικό πεδίο εφαρμογής των μερών. Σκοπός του είναι να αποκαλύψει μια μη ανατεθειμένη δραστηριότητα προτού αυτή μετατραπεί σε λειτουργικό πρόβλημα.
Ποια στοιχεία θα πρέπει να διαμορφώσουν το σχέδιο;
Μια επαγγελματική πρόταση θα πρέπει να καθιστά ορατά τα αποδεικτικά στοιχεία της απόφασης. Η σωστή απάντηση δεν είναι πάντα «προσθήκη άλλης συσκευής». Μπορεί να είναι μια σαφέστερη απαίτηση, μια διαφορετική τοποθέτηση, μια απόφαση εξουσίας ή ένα σαφές όριο υπηρεσίας.
| Επίπεδο απόφασης | Ερωτήσεις να ζητήσει | Αποδεικτικά στοιχεία που καθιστούν την απάντηση αξιοποιήσιμη |
|---|---|---|
| Συσκευή | Ποια πάθηση ανιχνεύεται ή ελέγχεται και σε τι συμβάλλει στην πραγματικότητα η επιλεγμένη συσκευή; | Τρέχον έγγραφο προϊόντος, προσδιορισμένη τοποθεσία και ρόλος στο συμφωνημένο πεδίο εφαρμογής. |
| Επικοινωνία | Ποια τοπική διαδρομή προορίζεται και τι πρέπει να επαληθευτεί σε αυτόν τον ιστότοπο; | Τεκμηριωμένη διαδρομή, μέθοδος δοκιμής τοποθεσίας και οποιαδήποτε δηλωμένη εξάρτηση. |
| Power | Τι πρέπει να παραμείνει διαθέσιμο για τη συμφωνημένη λειτουργία και τι συμβαίνει όταν δεν υπάρχει διαθέσιμο ρεύμα; | Σχέδιο παροχής ενέργειας, τεκμηριωμένη δοκιμή ή αρχείο εξαίρεσης. |
| Κάλυψη τοποθεσίας | Ποια καταχώρηση, περιοχή ή περιουσιακό στοιχείο εμπίπτει στο πεδίο εφαρμογής και ποια βρίσκεται σκόπιμα εκτός αυτού; | Σηματοδοτημένο σχέδιο τοποθεσίας, αιτιολογία τοποθέτησης και δοκιμή αποδοχής. |
| Υπηρεσία ή παρακολούθηση | Περιλαμβάνεται κάποια εξωτερική υπηρεσία, ποιος την παρέχει και τι έχει στην πραγματικότητα συμφωνηθεί; | Γραπτό πεδίο εφαρμογής της υπηρεσίας, επαφές, αποδεικτικά στοιχεία δοκιμής/παράδοσης και όροι κλιμάκωσης. |
Αυτό το πλαίσιο βασίζεται σκόπιμα σε στοιχεία. Δεν υπονοεί ότι υπάρχει μια συγκεκριμένη διαδρομή επικοινωνίας, μέθοδος δημιουργίας αντιγράφων ασφαλείας, υπηρεσία παρακολούθησης ή αποτέλεσμα απόκρισης. Εάν το έργο περιλαμβάνει μια διαδρομή παρακολούθησης, χρησιμοποιήστε ξεχωριστή συζήτηση σχεδιασμού για να διευκρινίσετε το πεδίο εφαρμογής της αντί να αντιμετωπίζετε την παρακολούθηση ως προεπιλεγμένο χαρακτηριστικό κάθε επαγγελματικού συστήματος.
Η αποδοχή είναι κάτι περισσότερο από το να βλέπεις έναν συναγερμό να λειτουργεί μία φορά
Ένα αρχείο παραλαβής μετατρέπει ένα εγκατεστημένο σύστημα σε έργο που παραδόθηκε. Θα πρέπει να δείχνει τι ελέγχθηκε σε σχέση με το συμφωνημένο πεδίο εφαρμογής και τι παραμένει ανοιχτό. Μια πρακτική συζήτηση παραλαβής μπορεί να καλύψει:
- οι συμφωνημένες περιοχές τοποθεσίας και τα σημεία εισόδου·
- η εγκατεστημένη διαμόρφωση ή το αρχείο περιουσιακών στοιχείων που απαιτείται για τη συντήρηση του συστήματος·
- η συμφωνημένη τοπική ένδειξη ή έξοδος, όπου έχει επιλεγεί·
- έλεγχοι ισχύος και επικοινωνίας σχετικοί με τον σχεδιασμό που καλύπτεται από το πεδίο εφαρμογής·
- έλεγχοι σφαλμάτων/εκτός σύνδεσης ή παραβίασης, όπου ισχύει για την εγκατεστημένη λύση·
- οποιαδήποτε συμβατική εξωτερική διαδρομή, μόνο όταν περιλαμβάνεται και δοκιμάζεται με τον καθορισμένο πάροχο·
- ανοιχτά στοιχεία, εξαιρέσεις, επώνυμες επαφές και η ημερομηνία παράδοσης.
Το αρχείο δεν αποτελεί εγγύηση για κάποιο αποτέλεσμα ασφαλείας. Αποτελεί απόδειξη ότι τα μέρη έλεγξαν το συμφωνημένο εύρος του έργου κατά την παράδοση. Οδηγίες φυσικής ασφάλειας της CISA χρησιμοποιεί ένα μοντέλο κινδύνου και αποτελέσματος· δεν μετατρέπει μια πρακτική ασφάλειας σε ένα καθολικό αποτέλεσμα. Η ίδια πειθαρχία είναι χρήσιμη και εδώ: καταγραφή του επιδιωκόμενου αποτελέσματος, του υπεύθυνου πεδίου εφαρμογής και των αποδεικτικών στοιχείων που έχουν πραγματικά αποκτηθεί.
Σχεδιάστε για την πρώτη αλλαγή και το πρώτο σφάλμα
Το σύστημα τελικά θα χρειαστεί έναν νέο χρήστη, ένα τροποποιημένο πρόγραμμα έναρξης, μια αντικατάσταση συσκευής, μια αλλαγή τοποθεσίας ή έναν έλεγχο σφαλμάτων. Μια επαγγελματική παράδοση καθιστά την εργασία αυτή ανιχνεύσιμη.
Κάντε αυτές τις ερωτήσεις πριν υπογράψετε:
- Ποιος μπορεί να ζητήσει μια αλλαγή και ποιος την εγκρίνει;
- Ποιος έχει το τρέχον αρχείο περιουσιακών στοιχείων, ρυθμίσεων και επαφών;
- Ποιος είναι ο πρώτος τοπικός έλεγχος όταν μια συσκευή, μια διαδρομή επικοινωνίας, μια έξοδος ή μια κατάσταση τροφοδοσίας δεν συμπεριφέρεται όπως αναμένεται;
- Πότε πρέπει να κληθεί ο εγκαταστάτης/ολοκληρωτής και πότε αναλαμβάνει ένας συγκεκριμένος πάροχος εάν εμπλέκεται μια συμβατική υπηρεσία;
- Πού φυλάσσονται τα αρχεία αποτελεσμάτων δοκιμών, εξαιρέσεων και αλλαγών;
Αυτές είναι λειτουργικές ερωτήσεις και όχι μια υπόσχεση ότι οποιοσδήποτε πάροχος θα διαγνώσει ή θα απαντήσει εντός συγκεκριμένου χρονικού διαστήματος. Βοηθούν τον αγοραστή να διακρίνει μια εγκατεστημένη συλλογή συσκευών από ένα σύστημα με σαφή διαδρομή ιδιοκτησίας.
Επαγγελματική λίστα ελέγχου συστήματος ασφαλείας για έναν αγοραστή
Πριν από τη δέσμευση, ο αγοραστής θα πρέπει να είναι σε θέση να λάβει ή να συμφωνήσει:
- γραπτό πεδίο εφαρμογής και παραδοχές σχεδιασμού του χώρου·
- καθορισμένες αρμοδιότητες για τον αγοραστή, τον εγκαταστάτη/ολοκληρωτή, τον προμηθευτή και οποιονδήποτε συμπεριλαμβανόμενο πάροχο υπηρεσιών·
- στοιχεία για τη συσκευή, την επικοινωνία, την ισχύ, την κάλυψη του χώρου και τις αποφάσεις παροχής υπηρεσιών·
- ένα σχέδιο αποδοχής/δοκιμών συνδεδεμένο με το συμφωνημένο πεδίο εφαρμογής·
- ένα αρχείο παράδοσης με εξαιρέσεις και επώνυμες επαφές· και
- μια διαδρομή αλλαγής και κλιμάκωσης σφάλματος που προσδιορίζει το επόμενο υπεύθυνο μέρος.
Εάν αυτά τα ερωτήματα δεν μπορούν ακόμη να απαντηθούν, το επόμενο χρήσιμο βήμα δεν είναι να υποθέσουμε κάποιο χαρακτηριστικό ή αποτέλεσμα. Είναι να περιορίσουμε το πεδίο εφαρμογής και να ζητήσουμε τα ελλείποντα στοιχεία πριν εγκρίνουμε το έργο.
Για μια απόφαση συγκεκριμένα σχετικά με ένα σύστημα DIY έναντι μιας επαγγελματικής παράδοσης, βλ. DIY vs επαγγελματικά συστήματα ασφαλείας σπιτιούΕάν εξετάζεται η επιλογή κέντρου παρακολούθησης ή παρόχου απόκρισης, ελέγξτε Σχεδιασμός ενσωμάτωσης κέντρου παρακολούθησης ARC ως ξεχωριστή απόφαση πεδίου εφαρμογής. Για ένα παράδειγμα διάταξης τοποθεσίας, Σχεδιασμός ασύρματου συναγερμού για μια μικρή αποθήκη δείχνει γιατί οι αποφάσεις σχετικά με την κάλυψη της τοποθεσίας και την εγκατάσταση θα πρέπει να λαμβάνονται πριν από την τελική μορφή μιας λίστας συσκευών.
Συχνές ερωτήσεις
Ένα επαγγελματικό σύστημα ασφαλείας περιλαμβάνει πάντα παρακολούθηση;
Όχι. Η παρακολούθηση ή η διαδρομή παρόχου απόκρισης αποτελεί ξεχωριστή απόφαση πεδίου εφαρμογής και σύμβασης. Όπου περιλαμβάνεται, τα μέρη θα πρέπει να προσδιορίζουν τον πάροχο, τους συμφωνηθέντες όρους παροχής υπηρεσιών, τη μέθοδο δοκιμής και τις επαφές κλιμάκωσης.
Επαγγελματικό σημαίνει ασύρματο, συνδεδεμένο στο cloud ή πλεονάζον;
Όχι. Πρόκειται για επιλογές σχεδιασμού που απαιτούν συγκεκριμένα στοιχεία για το έργο. Το επαγγελματικό στοιχείο είναι η σαφής σχέση μεταξύ πεδίου εφαρμογής, αρμοδιοτήτων, επαλήθευσης και παράδοσης.
Τι πρέπει να λάβει ένας αγοραστής κατά την παράδοση;
Κατ' ελάχιστον, τα αρχεία που απαιτούνται για την κατανόηση του αποδεκτού πεδίου εφαρμογής, τη διατήρηση των σχετικών επαφών, τον εντοπισμό εκκρεμών στοιχείων και τη διαχείριση μεταγενέστερων αλλαγών. Τα ακριβή έγγραφα εξαρτώνται από το έργο, τις τοπικές απαιτήσεις και τη σύμβαση.