Многофакторната идентификация — често съкратявана като MFA, допълнителна проверка до паролата, например код на телефона — не е изрично наредена в Директива (EU) 2022/2555 или закона за киберсигурност. Това, което е определено в задължението за надлежна мярка на член 21, е че организациите трябва да предприемат подходящи технически и организационни мерки, включително защита при достъп. За повечето офис системи, облачни приложения и отдалечен достъп в металургийната и производствената индустрия това на практика означава: да, многофакторната идентификация е част от това. За машини и контролни системи на производствена площадка это е по-нюансирано, и тази статия разглежда тази тема по-детайлно.
Разликата е в това какво технически може да направи система и какъв е рискът, ако само парола не е достатъчна. Портал за вход при работа от дома или облачна администрация почти винаги могат да добавят допълнителна стъпка за проверка. Двадесет години стара PLC конзола на производствена площадка често не може, и тогава въпросът се измества от "многофакторна идентификация или не" към "каква друга мярка това компенсира".
Какво задължението за надлежна мярка очаква от вас
Задължението за надлежна мярка не съдържа固定 списък на продукти или марки. Органите по надзор и самата директива говорят за мерки, които са пропорционални на рисковете, техническото ниво и разходите на прилагането. Защитата при достъп е един от повтарящите се предмети: кой имаше право на достъп, как се контролира това, и какво се случва, ако парола се откраде или познае. Многофакторната идентификация е в момента един от най-разпространените начини да се отговори на този въпрос, и затова се появява отново в почти всяко разработване на тази мярка, което срещаме — също и при органи по надзор в други държави членки. Как точно това е преведено в законодателството на вашата държава и какво допълнително обяснение дава органът по надзор, можете да проверите чрез преглед на разработката по предмет.
Където многофакторната идентификация обикновено се очаква
В металургийно или производствено предприятие местата, където това е най-целесъобразно, обикновено са същите: достъп до облачната среда и администрация, пощенската кутия на служителите, отдалечен достъп чрез VPN за тези, които работят от разстояние, и преди всичко сметки с административни права — IT администратор, системен администратор на ERP пакета, този, който има достъп до резервни копия. Именно тези административни сметки са привлекателни за нападател, защото една открадена парола осигурява незабавен достъп до много повече от един пощенски сандък. Възложители, които изпращат въпросник за киберсигурност, почти винаги изричес задават въпрос тук, и празен отговор на този въпрос обикновено е по-труден за обяснение от честен "все още не навсякъде, със този график".
Където производствените системи изискват друг подход
Производствената площадка е другата история. CNC машина, SCADA система или PLC, която работи десетилетия, често не е конструирана с екран за вход, който поддържа втора стъпка за проверка. Тук задължението за надлежна мярка не замества невъзможното със задължение, а измества внимание към други, допълнителни мерки: отделяне на системата в отделен мрежов сегмент, ограничаване на физическия достъп до контролната стая, и добро документиране кой кога имаше достъп до коя машина. Сегментация — отделяне на производствената мрежа от корпоративната мрежа — е в такива случаи често мерката, която попълва пропастта, която многофакторната идентификация затваря другаде. Където машина е свързана с корпоративната мрежа, например за отдалечено наблюдение или актуализации на софтуера, самата връзка е ново възприемчив риск, който изисква внимание, дори ако това не променя технологията на машината.
Как да направите това разграничение на практика
Полезна първа стъпка е преглед на всички системи, които осигуряват достъп до бизнес данни или производствени процеси, с въпроса за всеки система: може ли това технически да поддържа многофакторна идентификация, и ако не, какво правим вместо това. Този преглед е точно там, където един живот регистър доказва своята стойност, тъй като един отговор от днес може да се промени чрез софтуерна актуализация на утре. Независимо дали вашата организация попада под задължението за прилежно управление, или получавате този въпрос защото поръчвател го изисква от вас, можете в пет въпроса видете къде стоитеАко имате съмнения относно понятия като сегментация или управленски сметки, там е налично също така отговори на често задавани въпроси готово.
Многофакторната идентификация следователно не е отметка, която изглежда еднакво навсякъде, а мерка за управление на рисковете, която получава различна реализация за всяка система. За вашата собствена ситуация и за въпроса дали конкретно изключение за вашите машини е издържано срещу поръчвател или надзорен орган, правна консултация или консултация с надзорния орган остава препоръчаната маршрута — secria.eu описва кое е приложимо и помага да се фиксира, но не преценява вашата индивидуална ситуация.
Искате ли този преглед да бъде показан за вашия собствен бизнес, включително системите, които са налице и които не отговарят на условията? Извършете безплатния бърз преглед или прочетете първо темите.