Многостепенната верификация, наричана още двустепенна верификация или MFA, е вход в система с нещо, което знаете (парола), и нещо, което имате (код на вашия телефон, ключ или приложение). За инсталационни фирми, които попадат под задължението за управление на рисковете по NIS2 или които получават контролен списък за киберсигурност като доставчик, това е един от най-честите въпроси: е ли необходимо навсякъде или само на определени места?
Кратката версия: задължението за управление на рисковете не предписва технология, но изисква мерки, които отговарят на риска. За системи, които са отдалечено достъпни, като електронна поща, вашата система за планиране на ресурсите, VPN връзката или контролния панел на софтуера ви за планиране и фактуриране, многостепенната верификация обикновено се счита за основна мяра. За достъп до сграда, шкаф с ключове или система при клиент на място ситуацията е по-нюансирана, и там лежи практическият въпрос за много инсталационни фирми.
Където многостепенната верификация обикновено се очаква
Основата на разсъждението е проста: колкото по-далеч е системата от вашия собствен офис и колкото по-чувствителни са данните зад нея, толкова по-силната защита трябва да я придружава. Монтьор, който се влизане в корпоративната мрежа от своя телефон, администратор на офис, който е в администрацията от дома, или мениджър, който отдалечено има достъп до планирането: всички тези са точки, където самата парола е уязвима към фишинг или повторна употреба на изтекли идентификационни данни. Многостепенната верификация гарантира, че украдена парола сама по себе си не е достатъчна за вход.
Същото важи и за акаунтите с разширени права: администраторът на мрежата, собственикът на облачната среда или лицето, което може да одобрява фактури. Именно тези акаунти са най-ценни за нападател и точно там обикновено се поставя първо въпросът в списък за киберсигурност на клиент. Тези, които искат да научат повече за точно какво се появява там, могат да намерят това на страницата за темите, които са разработени по сектор.
Където е по-нюансирано: системи при клиентите на място
Инсталационни фирми често работят на място: в домовете на клиентите, в бизнес сгради или на строителни площадки. Там възникват ситуации, които не са преводими един към един със офисна работа. Монтьор, който трябва да се влизане в система за управление на сгради на клиент, често използва идентификационни данни, които самият клиент управлява, а не данни от собствения му бизнес. Въпросът кой там регулира многостепенната верификация и кой я наблюдава, лежи предимно при собственика на системата, а не при инсталационната фирма, която временно има достъп до нея.
Споделено оборудване в служебен бус, като таблет, който се използва от няколко монтьора, е и практичен случай, в който строго изискване за MFA може да противоречи на работната способност на улицата. Това не означава, че защитата там отпада, но че изпълнението може да бъде различно: например кратко времетраене на сесия, отделен акаунт за всеки монтьор вместо споделен акаунт, или достъп, който автоматично изтича след работния ден. Регулаторите и клиентите разглеждат дали е направена съзнателна преценка, а не дали точното техническо решение е приложено навсякъде.
Разликата между физически ключове и достъп до сгради от една страна и цифров достъп до системи от другата страна е нещо, за което инсталационните фирми често получават въпроси. Тези, които искат да разберат по-широко тази тема, могат да намерят обяснение на страницата за управление на достъпа в сектора.
Какво означава това за разговора с възложител
Анкета за сигурност често задава просто да/не въпрос относно многофакторната удостоверяване, докато практиката е по-нюансирана. Полезно е да можете да покажете по система къде стои многофакторната удостоверяване, защо е избрано там, и как се справят с изключенията. Това е точно място, където живо досие добавя стойност: не само отметка при мярка, а доказателство и собственик по система, така че отговорът на анкетата е точен и обоснован.
Дали вашето предприятие попада под задължението за грижа, бива ли засегнато от веригата на доставка, или нито едното, нито другото, може да се види с няколко въпроса чрез безплатната проверка, която картографира вашата ситуация. За тези, които искат да знаят точно как secria.eu стига до своята информация и какви източници се използват, това е обяснено на страницата за това как функционира платформата. И за конкретни въпроси относно това какво попада и не попада под задължението за грижа, има обзор с отговори на въпроси, които монтажните компании често задават.
Многофакторната удостоверяване не е цел сама по себе си, а един от градивните блокове в досие, което показва, че достъпът до системи е обмислено регулиран. За ситуацията на вашето собствено предприятие, със своите собствени системи и работна процедура на място, остава необходима своя оценка; познавателната база и бързата проверка помагат да направите тази оценка с правилната информация.