πώς διασφαλίζω ότι τα δεδομένα στο διαβατήριο προϊόντος είναι ασφαλή

Τι πρέπει να κάνετε συγκεκριμένα

Τι αναμένεται από εσάς

Ο ESPR θέτει απαιτήσεις για το ψηφιακό διαβατήριο προϊόντος που δεν αφορούν μόνο ποια δεδομένα περιέχει, αλλά και πώς αυτά τα δεδομένα διαχειρίζονται και προστατεύονται. Το άρθρο 10 και το άρθρο 11 του ESPR (Κανονισμός (ΕΕ) 2024/1781) αποτελούν μαζί τη βάση για αυτό: το άρθρο 10 περιγράφει τις απαιτήσεις που πρέπει να πληροί το διαβατήριο, το άρθρο 11 αφορά ειδικά στο τεχνικό σχεδιασμό και τη λειτουργία. Για μια χαλυβουργία ή έναν μεταλλοεργάτη που το οργανώνει για πρώτη φορά, αυτό διαιρείται σε έναν αριθμό πρακτικών σημείων προσοχής.

Ρύθμιση της πρόσβασης στα δεδομένα ανά ρόλο

Δεν χρειάζεται κάθε άτομο που συμβουλεύεται το διαβατήριο να δει τα ίδια δεδομένα. Ένας υπεύθυνος αγορών σε ένα κατασκευαστικό γραφείο χρειάζεται διαφορετικές πληροφορίες από έναν εποπτικό φορέα ή έναν ανακυκλωτή στο τέλος της διάρκειας ζωής. Το άρθρο 10 του ESPR προβλέπει διαφοροποιημένη πρόσβαση: ορισμένα δεδομένα είναι δημόσια, άλλα είναι ορατά μόνο σε συγκεκριμένα μέρη όπως οι συμμετέχοντες στην αγορά ή οι αρχές. Για ένα επιχείρημα 10 έως 100 υπαλλήλων, αυτό σημαίνει ότι, πριν το διαβατήριο μεταβεί σε ζωντανή κατάσταση, πρέπει να έχει ληφθεί απόφαση σχετικά με το ποιος δίδει ποια στρώματα δεδομένων — και η απόφαση αυτή πρέπει να έχει εφαρμοστεί τεχνικά, όχι μόνο σε χαρτί.

Διασφάλιση της προέλευσης και της ακρίβειας των δεδομένων

Ένα ψηφιακό διαβατήριο προϊόντος έχει αξία μόνο εάν τα δεδομένα είναι σωστά και μπορούν να ανιχνευθούν στην πηγή. Αυτό αφορά την αξιοπιστία ολόκληρου του συστήματος: εάν ένας δέκτης δεν μπορεί να διαπιστώσει από πού προέρχεται ένα δεδομένο, το διαβατήριο χάνει τη λειτουργία του. Πρακτικά, αυτό σημαίνει ότι πρέπει να καθορίζεται ποιος ποιο δεδομένο έχει παράσχει — ο κατασκευαστής, ο εισαγωγέας ή ένα ενδιάμεσο μέρος — και πότε συνέβη. Για τις επιχειρήσεις που δεν καταχωρούν μόνες τους δεδομένα αλλά τα προωθούν, είναι σημαντικό να γνωρίζουν πώς τα δεδομένα έχουν παρασχεθεί στη σωστή μορφή, διότι μια εσφαλμένη παροχή μεταφράζεται σε ένα αναξιόπιστο διαβατήριο σε όλη την αλυσίδα.

Προστασία κατά τροποποίησης μετά τη δημοσίευση

Το Άρθρο 11 του ESPR περιγράφει ότι το ψηφιακό διαβατήριο προϊόντος πρέπει να λειτουργεί τεχνικά με τρόπο ώστε τα δεδομένα να μην μπορούν να τροποποιηθούν αφότου καταχωρηθούν χωρίς να αφήσουν ίχνη. Για έναν κατεργαστή μετάλλων που δεν φιλοξενεί αυτός το διαβατήριο αλλά το αναθέτει σε άλλον — όπως μέσω ενός platform όπως αυτό — αυτό σημαίνει ότι η επιλογή μιας εταιρείας φιλοξενίας είναι επίσης επιλογή σχετικά με τον τρόπο που η εταιρεία αυτή καταγράφει, λογαριάζει και προστατεύει τις τροποποιήσεις. Δεν είναι θεωρητικό σημείο: αν ένας πελάτης ή αρχή ελέγχου αμφισβητήσει ένα δεδομένο από το διαβατήριο, πρέπει να είναι αποδείξιμο πότε καταχωρήθηκε εκείνο το δεδομένο και από ποιον.

Σύνδεση με υπάρχοντα συστήματα της εταιρείας

Πολλές εταιρείες δεν θέλουν να διαχειρίζονται το διαβατήριο προϊόντος ως απομονωμένο σύστημα, αλλά να το συνδέσουν με τη διοίκηση που ήδη υπάρχει. Αυτό είναι δυνατό, αλλά η ασφάλεια του διαβατηρίου δεν είναι τότε ανεξάρτητη από την ασφάλεια του υποκείμενου συστήματος. Όποιος σκέπτεται να συνδέσει το διαβατήριο με το δικό του σύστημα ERP ή αποθέματος, καλό είναι να δει ποιος έχει πρόσβαση σε εκείνη τη σύνδεση και αν ένα κενό σε ένα σύστημα έχει συνέπειες για το άλλο.

Πού παρουσιάζονται προβλήματα στην πράξη

Ένας αριθμός καταστάσεων εμφανίζεται συχνά στην πράξη.

Στις εταιρείες που φέρνουν τον κωδικό QR στο ίδιο το προϊόν, μερικές φορές παραβλέπεται ότι ο κωδικός καθ' αυτός δεν παρέχει ασφάλεια — το ερώτημα είναι τι συμβαίνει πίσω από εκείνον τον κωδικό. Όποιος αναρωτιέται πώς ο κωδικός QR καταλήγει στο χάλυβα, πρέπει επίσης να αναρωτηθεί ποιος διαχειρίζεται τα υποκείμενα δεδομένα και αν η διαχωριστική γραμμή μεταξύ φορέα και περιεχομένου είναι σαφώς καθορισμένη.

Μια άλλη κατάσταση δημιουργείται όταν πολλαπλά μέρη στην αλυσίδα παρέχουν δεδομένα για το ίδιο διαβατήριο, χωρίς να έχει συμφωνηθεί εκ των προτέρων ποιος μπορεί να τροποποιήσει ποιο μέρος. Αυτό οδηγεί σε σύγχυση σχετικά με το ποια έκδοση είναι η έγκυρη και μερικές φορές στην τυχαία αντικατάσταση σωστών δεδομένων από άλλο μέρος.

Ακόμη και για μικρά εξαρτήματα συμβαίνουν σφάλματα: αν ένας κωδικός QR σε ένα μικρό κομμάτι χάλυβα είναι τεχνικά περιορισμένος, μερικές φορές επιλέγεται μια απλοποιημένη σύνδεση ή μια ενδιάμεση σελίδα — όπου δεν έχει πάντα σκεφτεί κανείς αν εκείνο το ενδιάμεσο βήμα ακολουθεί τις ίδιες συμφωνίες ασφάλειας με το κύριο διαβατήριο.

Μια τέταρτη κατάσταση: εταιρείες που διατηρούν αυτές ένα αντίγραφο χωρίς σύνδεση δεδομένων διαβατηρίου για χρήση σε τοποθεσίες χωρίς σύνδεση, ξεχνούν να συγχρονίσουν ή να προστατεύσουν εκείνο το αντίγραφο με τον ίδιο τρόπο όπως η διαδικτυακή έκδοση. Αυτό είναι ένα πραγματικό σημείο, γιατί δεν έχει κάθε χώρος εργασίας μια σταθερή σύνδεση, και το ερώτημα αν το διαβατήριο πρέπει επίσης να λειτουργεί χωρίς σύνδεση παίζει ακριβώς στο είδος αυτής της πρακτικής διευθέτησης.

Τέλος: εταιρείες που σταματούν ή αποστέλλουν ένα επιχειρηματικό τμήμα, ξεχνούν μερικές φορές ότι τα δεδομένα του διαβατηρίου παραμένουν και ότι η πρόσβαση και η διαχείρισή τους πρέπει να μεταφερθούν — κάτι που σχετίζεται με το ερώτημα τι συμβαίνει με το διαβατήριο αν η εταιρεία σταματήσει.

Τι μπορείτε να τεκμηριώσετε

Ένας αριθμός συμφωνιών και εγγράφων βοηθά να καταστεί αποδεικτέα η ασφάλεια των δεδομένων διαβατηρίου:

• Μια επισκόπηση του ποιος έχει ποιο ρόλο στην παροχή και διαχείριση δεδομένων, συμπεριλαμβανομένου του ατόμου επικοινωνίας ανά μέρος στην αλυσίδα.
• Μια καταχώρηση της προέλευσης κάθε δεδομένου: από ποιον κατασκευαστή, εισαγωγέα ή ενδιάμεσο μέρος προέρχεται και σε ποια στιγμή παρήχθη.
• Συμφωνίες με την εταιρεία φιλοξενίας σχετικά με τη καταγραφή τροποποιήσεων, ώστε να είναι αποδείξιμο πότε καταχωρήθηκε ένα δεδομένο και αν τροποποιήθηκε στη συνέχεια.
• Μια περιγραφή των επιπέδων πρόσβασης που έχουν ρυθμιστεί: ποια δεδομένα είναι δημόσια και ποια είναι ορατά μόνο για συγκεκριμένα μέρη.
• Εάν ισχύει, μια επισκόπηση της σύνδεσης με το δικό του σύστημα ERP ή αποθέματος, με το ποιος έχει πρόσβαση σε εκείνη τη σύνδεση.
• Ένα σχέδιο για την κατάσταση στην οποία η εταιρεία σταματά ή ένα μέρος μεταφέρεται, ώστε η διαχείριση και η πρόσβαση στα υπάρχοντα διαβατήρια να μην είναι αιωρούμενες.

Αυτή η καταχώρηση δεν είναι μόνο χρήσιμη προς τον έλεγχο, αλλά και πρακτική: αποτρέπει την απώλεια εσωτερικής γνώσης σχετικά με ποιος διαχειρίζεται τι, κατά τη διάρκεια αλλαγών προσωπικού ή εξαγορών εταιρειών.