Задължителна ли е многофакторната проверка (MFA) за доставчик на ИКТ услуги? Прост отговор не съществува, и това е точно причината, поради която този въпрос толкова често се повтаря пред органите по надзор, възложителите и в анкетните листове за сигурност. Директива NIS2 споменава явно многофакторната удостоверяване или непрекъснатото удостоверяване като пример за мярка, която попада под задължението по грижа, но не предписва на кой системен компонент, за кого и в кой момент това трябва да се направи. Този избор е в ръцете на самата организация, което прави темата по-сложна от простото да или не.
Какво е ясно: когато сметка осигурява дистанционен достъп до системи, данни или инфраструктура на клиент, органите по надзор и възложителите очакват повече от само парола. Това важи за собствения персонал, за подизпълнители и за временен достъп, който се отнема след проекта. Там, където това очакване е по-слабо, е при вътрешния, нискорисков достъп, който не е достъпен отвън. Там лежи граница, която тази статия разглежда по-нататък.
Защо MFA се появява почти във всеки анкетен лист
Като доставчик на ИКТ услуги, вие често сте страната, която се свързва дистанционно за клиент, извършва обновления или отстранява неполадки. Точно този път на достъп е привлекателен за нападателя: една откраднена парола може да даде достъп до множество среди на клиенти едновременно. Възложители, които сами попадат под задължението по грижа, трябва да оценят своите доставчици, а многофакторната проверка при дистанционен достъп е един от първите неща, които се питат. Който нямаше отговор на това, забелязва, че анкетни листове траят по-дълго или че договор остава в чакане.
с няколко въпроса можете да видите дали вашата организация е засегната чрез веригата на доставка дава първа индикация как силни могат да бъдат такива изисквания за вас. За малко и средно предприятие (МСП) доставчик, който работи за няколко клиента, попадащи под задължения, има голяма вероятност един и същ въпрос да се появи отново и отново, само с малко различна формулировка.
Къде MFA се очаква структурирано
Три пътя на достъп се появяват в практиката най-често като място, където многофакторната проверка трябва да стои. Първо, дистанционното управление: всяка връзка, чрез която администратор от извън мрежата може да достигне до система, включително VPN достъп и връзки за дистанционен десктоп. Второ, достъп до системи на клиенти: сметки, които са създадени специално за вход при възложител, особено когато този достъп дава права на администратор. Трето, подизпълнители и външни страни, които работят в ваше име при клиент; техният достъп попада под същото очакване, дори и самият подизпълнител да не е директно посочен в анкетния лист.
При всички три категории моделът е винаги същият: колкото по-далеч е достъпът от собствената, физически защитена мрежа, толкова по-силно е очакването, че втора стъпка на проверка да е налице.
Където дискусията все още е открита
В собствена мрежа на офиса, за сметка, която работи само локално и без външна връзка, необходимостта от MFA е по-малко еднозначна. Това не означава, че е неважна, а че оценката там е повече за риск и пропорционалност, отколкото за твърдо правило. Същия нюанс важи за споделени функционални сметки, които не са свързани с конкретно лице: те изискват различно решение, отколкото втора стъпка на проверка за всеки човек, например чрез отмяна на самата сметка в полза на персонални учетни данни.
Това е категория, с която организациите най-често се борят, когато дойде анкетен лист за сигурност: не отчетливите случаи, а системите, които някъде се намират в средата. прочетете обяснението за всяка ситуация помага да видите в коя категория вероятно попада конкретна система, без да е необходимо първо да прочетете цялата директива.
Какво означава това за собствения ви досие
За задължението за грижа не се брои само дали е инсталирана многофакторната верификация, а и дали това е доказуемо: кой е взел решението, на кои системи е включена, и какво е състоянието на системите, където все още липсва. Именно този вид документация е необходимо живо досие вместо еднократно действие. При съмнение относно това как строго трябва да се оцени конкретен достъп, органът по надзор или юристът остават подходящата страна да оценят това за вашата ситуация; това обяснение има за цел да уточни въпроса, а не да го замени.
Любопитни ли сте как тази тема ще бъде отразена в собствения ви досие? прочетете откъде идва информацията на secria.eu показва как поддържаме източници и безплатната NIS2-проверка дава в няколко минути първо виждане на вашата позиция.