Je vícefaktorové ověření (MFA) povinné pro ICT-poskytovatele služeb? Krátkou odpověď neexistuje, a právě proto se tato otázka tak často vrací k dozorovatelům, zadavatelům a v bezpečnostních dotaznících. Směrnice NIS2 explicitně jmenuje vícefaktorové ověření nebo pokračující ověření jako příklad opatření, které patří k povinnosti péče, ale nepředepisuje, na kterém systému, pro koho a v jakém okamžiku se to musí provést. Toto naplnění je na samotné organizaci, a to činí téma složitější než prostou ano či ne.
Co je jasné: jakmile účet umožňuje vzdálený přístup k systémům, údajům nebo infrastruktuře zákazníka, dozorující orgány i zadavatelé očekávají více než jen heslo. To platí pro vlastní personál, pro subdodavatele a pro dočasný přístup, který se po projektu odebere. Kde je tato očekávání méně silná, je u interního, nízkorizikového přístupu, který není dostupný zvenčí. Tam leží hranice, kterou tento článek dále rozvíjí.
Proč se MFA objevuje téměř v každém dotazníku
Jako ICT-poskytovatel služeb jste často stranou, která se pro zákazníka vzdáleně přihlašuje, provádí aktualizace nebo řeší problémy. Právě tato přístupová cesta je pro útočníka atraktivní: jedno ukraděné heslo může poskytnout přístup k několika prostředím zákazníka najednou. Zadavatelé, kteří sami podléhají povinnosti péče, musí posoudit své dodavatele, a vícefaktorové ověření při vzdáleném přístupu je jednou z prvních věcí, které se ptají. Kdo zde nemá odpověď, všimne si, že dotazníky trvají déle nebo že smlouva zůstane pozastavena.
v několika otázkách vidět, zda se vaše organizace prostřednictvím dodavatelského řetězce dotýká poskytuje první indikaci, jak těžké takové požadavky na vás mohou dolehnou. Pro malého ICT-poskytovatele, který pracuje pro více povinných zákazníků, je pravděpodobné, že se stejná otázka vrací stále znovu, jen s mírně odlišným formulováním.
Kde se MFA strukturálně očekává
Tři přístupové cesty se v praxi nejčastěji objevují jako místo, kde by mělo být vícefaktorové ověření. Zaprvé správa na dálku: každé připojení, pomocí kterého se správce zvenčí sítě dostane do systému, včetně VPN přístupu a připojení ke vzdálené ploše. Zadruhé přístup k zákaznickým systémům: účty, které byly speciálně vytvořeny pro přihlášení u zadavatele, zejména když tento přístup poskytuje práva správce. Zatřetí subdodavatelé a externí strany, které pro vás pracují u zákazníka; jejich přístup podléhá stejnému očekávání, i když samotný subdodavatel není přímo v dotazníku.
U těchto tří kategorií je vzor vždy stejný: čím dále je přístup od vlastní, fyzicky izolované sítě, tím silnější je očekávání, že je přítomna druhá verifikační úroveň.
Kde diskuse zůstává otevřená
Uvnitř vlastní kancelářské sítě, pro účet, který funguje pouze lokálně a bez externího propojení, je nezbytnost MFA méně jednoznačná. To neznená, že by to bylo důležité, spíše to znamená, že posouzení tam více odsuzuje riziko a proporčnost než tvrdou normu. Stejný odstín platí pro sdílené funkční účty, které nejsou vázány na jednotlivce: ty vyžadují jiné řešení než druhou fázi na osobu, například zrušením samotného účtu ve prospěch osobních přihlašovacích údajů.
Je právě tato kategorie, s níž si organizace nejčastěji lámou hlavu, když přijde bezpečnostní dotazník: ne jasné případy, ale systémy, které někde uprostřed padají. přečtěte si vysvětlení pro každou situaci pomáhá vidět, do jaké kategorie konkrétní systém pravděpodobně spadá, bez nutnosti nejdříve číst celou směrnici.
Co to znamená pro vlastní spis
Pro povinnost péče se nejedná pouze o to, zda je MFA nastavena, ale také zda je to dokazatelné: kdo rozhodnutí přijal, na kterých systémech je zapnuta a jaký je stav systémů, kde ještě chybí. Jde přesně o ten druh zápisu, který vyžaduje živý spis místo jednorázové akce. Pokud si nejste jisti, jak přísně by měl být posuzován konkrétní přístup, zůstane regulátor nebo právník vhodnou stranou, aby to posoudili pro vaši situaci; toto vysvětlení je určeno k upřesnění otázky, nikoli k jejímu nahrazení.
Zajímá vás, jak se toto téma dostane do vašeho vlastního spisu? přečtěte si, odkud informace na secria.eu pocházejí ukazuje, jak vedeme zdroje, a bezplatná NIS2-kontrola vám během pár minut dá první představu o tom, kde stojíte.