Egy professzionális biztonsági rendszert nem az határoz meg, hogy több eszközt, drágább panelt vagy távoli szolgáltatást tartalmaz-e a javaslat. Ez egy olyan projekt, amelyet explicit tervvel, megnevezett felelősségi körökkel, igazoló bizonyítékokkal és használható átadás-átvételi nyilvántartással szállítanak le.
Ez a különbségtétel fontos, mielőtt a vevő elkötelezi magát. Egy rendszer tartalmazhat jó komponenseket, mégis nehézkes lehet az üzemeltetése, ha senki sem állapodott meg abban, hogy mi a telephelyi kockázat, kié a konfiguráció, mit teszteltek, vagy hogyan kezelik a későbbi hibákat vagy változtatásokat.
A professzionális rész a megvalósítási modell.
Egy kis telephelyen a professzionális szállítás egyszerű lehet. Egy több területre kiterjedő telephelyen részletesebb lehet. Mindkét esetben ugyanaz a kérdés érvényes: nyomon tudja-e követni a vevő a projektet a telephelyi bemenettől egy elfogadott üzemeltetési nyilvántartásig?
Az alábbi útvonalon tekintheti át az ajánlatot:
- Projekt bemenetek — dokumentálja a telephelyet, a belépési pontokat, a védett területeket, az üzemidőt, a hozzáférésre szoruló személyeket, a meglévő korlátozásokat és a reagálási célt.
- Rendszer tervezés — mutassa be, hogy az eszközzel, a kommunikációval, a tápellátással, a lefedettséggel és a szolgáltatással kapcsolatos döntések hogyan kapcsolódnak ezekhez a bemenetekhez.
- Telepítés és konfiguráció — azonosítsa a telepített berendezéseket, azok helyét, a megállapodás szerinti hatókör szempontjából fontos beállításokat, valamint a konfigurációért felelős személyt.
- Elfogadás — tesztelje a megállapodott funkciókat, és rögzítse az eredményt, a kivételeket és a nyitott műveleteket.
- Működés és változás — őrizze meg a kapcsolattartókat, az átadási nyilvántartásokat, valamint a későbbi változtatások, cserék vagy hibák eszkalációjának folyamatát.
Ez egy mérnöki és megvalósítási keretrendszer, nem pedig azt állítja, hogy minden projektnek ugyanarra a technológiára vagy szolgáltatásra van szüksége. A NIST rendszerbiztonsági mérnöki útmutatója hasonlóképpen kezeli az érdekelt felek igényeit, követelményeit, ellenőrzését és életciklus-bizonyítékait összekapcsolt tevékenységekként, nem pedig egyszeri termékválasztásként.
Kezdje a felelősségi körökkel, ne az eszközlistával
Mielőtt összehasonlítanánk egy ajánlatot, kérdezzük meg mindkét felet, hogy mi a tulajdona. Egy egyértelmű válasz megakadályozza, hogy egy eszköz szállítójáról feltételezzük a helyszíni felmérést, egy telepítőről azt, hogy egy szolgáltatást üzemeltet, vagy egy vevőről azt, hogy olyan hozzáférési és módosítási felelősségek háruljanak rá, amelyekre nem számított.
| Szerep | Elköteleződés előtt tisztázni kell | Kérhető bizonyíték |
|---|---|---|
| Vevő vagy webhelytulajdonos | Telephelyi prioritások, hozzáférési döntéshozók, üzemeltetési korlátozások, átvételi jogosultság és a nyilvántartások kezelője. | Megállapodott hatókör, megnevezett elfogadási kapcsolattartó és változás/kapcsolattartási rekord. |
| Telepítő vagy integrátor | Felmérési módszer, tervezési feltételezések, telepítési/konfigurációs hatókör, tesztterv és átadás-átvételi módszer. | Helyszíni/tervezési jegyzőkönyv, tesztlista, kivétellista és átadás-átvételi jegyzőkönyv. |
| Eszközszállító | Jelenlegi termékdokumentáció, a deklarált támogatási útvonal és a termékinformációk korlátai. | Aktuális kézikönyv/specifikáció, verzió/régió ellenőrzése, ahol releváns, ügyfélszolgálati elérhetőség. |
| Monitoring vagy válaszadó, ha van ilyen | Szerződéses szolgáltatási kör, regisztrációs felelősség, kapcsolattartók, tesztelési módszer és eszkalációs feltételek. | Szolgáltatási megállapodás, megnevezett kapcsolattartó, tesztbizonyíték és egyeztetett eszkalációs útvonal. |
A táblázat nem jelöl ki jogi felelősséget. Ezt a helyi törvények, a szerződés és a felek tényleges hatásköre határozza meg. Célja, hogy feltárjon egy nem kijelölt tevékenységet, mielőtt az működési problémává válna.
Milyen bizonyítékoknak kellene alakítaniuk a tervet?
Egy professzionális javaslatnak láthatóvá kell tennie a döntés bizonyítékait. A helyes válasz nem mindig a „további eszköz hozzáadása”; lehet egyértelműbb követelmény, eltérő elhelyezés, teljesítménybeli döntés vagy explicit szolgáltatási határ.
| Döntési réteg | Kérdések | Bizonyíték, amely használhatóvá teszi a választ |
|---|---|---|
| eszköz | Milyen állapotot észlelnek vagy szabályoznak, és mit járulnak hozzá valójában a kiválasztott eszköz? | Jelenlegi termékdokumentum, azonosított hely és szerep a megállapodás szerinti alkalmazási területen. |
| Kommunikáció | Melyik helyi útvonalról van szó, és mit kell ellenőrizni ezen az oldalon? | Dokumentált elérési út, webhelytesztelési módszer és minden feltüntetett függőség. |
| Power | Minek kell továbbra is rendelkezésre állnia a megállapodott funkcióhoz, és mi történik, ha áramszünet áll rendelkezésre? | Energiagazdálkodási terv, dokumentált teszt- vagy kivételnyilvántartás. |
| Telephely lefedettsége | Melyik bejegyzés, terület vagy eszköz tartozik a hatókörbe, és melyik van szándékosan kívül rajta? | Jelölt helyszínrajz, elhelyezési indoklás és átvételi teszt. |
| Szolgáltatás vagy felügyelet | Tartalmaz-e külső szolgáltatást, ki nyújtja azt, és mit vonnak ténylegesen szerződésbe? | Írásos szolgáltatási terjedelem, kapcsolattartók, tesztelési/átadási bizonyítékok és eszkalációs feltételek. |
Ez a keretrendszer szándékosan bizonyítékokon alapuló. Nem sugallja azt, hogy egy adott kommunikációs útvonal, biztonsági mentési módszer, monitorozási szolgáltatás vagy válaszkimenet létezik. Ha a projekt monitorozási útvonalat tartalmaz, akkor egy külön tervezési megbeszélésen tisztázzuk annak hatókörét, ahelyett, hogy a monitorozást minden professzionális rendszer alapértelmezett funkciójaként kezelnénk.
Az elfogadás több annál, mint hogy egyszer látjuk működésbe hozni a riasztót
Egy átvételi jegyzőkönyv a telepített rendszert átadott projektté alakítja. Fel kell tüntetnie, hogy mit ellenőriztek a megállapodás szerinti hatókör alapján, és mi maradt még nyitott. Egy gyakorlati átvételi megbeszélés a következőket foglalhatja magában:
- a megállapodás szerinti telephelyek és belépési pontok;
- a rendszer karbantartásához szükséges telepített konfiguráció vagy eszközrekord;
- a megállapodás szerinti helyi jelzés vagy kimenet, ahol kiválasztották;
- a vizsgált tervhez kapcsolódó tápellátási és kommunikációs ellenőrzések;
- hiba-/offline vagy szabotázsellenőrzések, ahol alkalmazhatók a telepített megoldásra;
- bármely szerződéses külső útvonal, csak akkor, ha az szerepel a megnevezett szolgáltatónál és tesztelték;
- nyitott tételek, kivételek, megnevezett kapcsolattartók és az átadás dátuma.
A feljegyzés nem garantálja a biztonsági eredményt. Bizonyítékot szolgáltat arra, hogy a felek az átadáskor ellenőrizték a projekt elfogadott hatókörét. A CISA fizikai biztonsági útmutatója kockázat-eredmény modellt használ; nem teszi a biztonsági gyakorlatot univerzális eredményné. Ugyanez a fegyelem hasznos itt is: dokumentálni kell a kívánt eredményt, a felelős hatókört és a ténylegesen megszerzett bizonyítékokat.
Tervezze meg az első változtatást és az első hibát
A rendszernek végül új felhasználóra, megváltozott nyitvatartási időre, eszközcserére, telephelyváltásra vagy hibaellenőrzésre lesz szüksége. Egy professzionális átadás-átvétel nyomon követhetővé teszi ezt a munkát.
Tedd fel ezeket a kérdéseket a bejelentkezés előtt:
- Ki kérhet módosítást, és ki hagyja jóvá azt?
- Ki rendelkezik az aktuális eszközzel, konfigurációval és kapcsolattartói rekorddal?
- Mi az első helyi ellenőrzés, ha egy eszköz, kommunikációs útvonal, kimenet vagy tápellátási állapot nem a várt módon viselkedik?
- Mikor kell hívni a telepítőt/integrátort, és mikor veszi át egy megnevezett szolgáltató a feladatot, ha szerződéses szolgáltatásról van szó?
- Hol tárolják a teszteredményeket, a kivételeket és a változtatásokat tartalmazó nyilvántartásokat?
Ezek üzemeltetési kérdések, nem pedig ígéret arra, hogy bármelyik szolgáltató diagnosztizálni vagy válaszolni fog egy adott időn belül. Segítenek a vásárlónak megkülönböztetni egy telepített eszközgyűjteményt egy olyan rendszertől, amelynek egyértelmű a tulajdonjogi útvonala.
Professzionális biztonsági rendszer ellenőrzőlista vevő számára
A kötelezettségvállalás előtt a vevőnek képesnek kell lennie a következők beszerzésére vagy elfogadására:
- írásos telephelyi hatókör és tervezési feltételezések;
- a vevő, a telepítő/integrátor, a beszállító és minden érintett szolgáltató megnevezett felelősségi körei;
- bizonyítékok az eszközzel, a kommunikációval, a tápellátással, a helyszíni lefedettséggel és a szolgáltatással kapcsolatos döntésekre;
- egy, a megállapodás szerinti hatókörhöz kötött átvételi/tesztelési terv;
- egy átadás-átvételi nyilvántartás a kivételekkel és a megnevezett kapcsolattartókkal; és
- egy változtatási és hibaeszkalációs útvonal, amely azonosítja a következő felelőst.
Ha ezekre a tételekre még nem lehet válaszolni, akkor a következő hasznos lépés nem az, hogy feltételezzünk egy jellemzőt vagy eredményt. Inkább szűkítsük a hatókört, és kérjük a hiányzó bizonyítékokat a projekt jóváhagyása előtt.
A barkácsrendszerrel és a professzionális szállítással kapcsolatos konkrét döntésekhez lásd a Barkácsrendszerek és a professzionális otthoni biztonsági rendszerek című részt . Ha felügyeleti központ vagy válaszadói útvonalat fontolgat, akkor az ARC felügyeleti központ integrációs tervezését különálló döntésként tekintse át. Egy helyszíni elrendezési példaként egy kis raktár vezeték nélküli riasztójának megtervezése jól mutatja, hogy miért kell a helyszíni lefedettséggel és a telepítéssel kapcsolatos döntéseket meghozni az eszközlista véglegesítése előtt.
Gyakran Ismételt Kérdések
Egy professzionális biztonsági rendszer mindig tartalmaz megfigyelést?
Nem. A monitorozás vagy a válaszadói útvonal különálló hatókör és szerződéses döntés. Amennyiben ez szerepel a megállapodásban, a feleknek meg kell határozniuk a szolgáltatót, a megállapodott szolgáltatási feltételeket, a tesztelési módszert és az eszkalációs kapcsolattartókat.
A professzionális azt jelenti, hogy vezeték nélküli, felhőalapú vagy redundáns?
Nem. Ezek olyan tervezési döntések, amelyek projektspecifikus bizonyítékot igényelnek. A szakmai elem a hatókör, a felelősségek, az ellenőrzés és az átadás közötti egyértelmű kapcsolat.
Mit kell kapnia a vevőnek az átadáskor?
Legalább a feljegyzésekre szükség volt az elfogadott hatókör megértéséhez, a releváns kapcsolattartók megőrzéséhez, a nyitott tételek azonosításához és a későbbi változtatások kezeléséhez. A pontos dokumentumok a projekttől, a helyi követelményektől és a szerződéstől függenek.