Vícefaktorová ověřování, také nazývané dvoustupňové ověřování nebo MFA, znamená přihlášení pomocí něčeho, co víte (heslo), a něčeho, co máte (kód v telefonu, klíč nebo aplikace). Pro instalační firmy, které podléhají povinnosti péče podle NIS2 nebo které dostávají jako dodavatel seznam kontroly bezpečnosti, je toto jednou z nejčastěji kladených otázek: musí to být všude, nebo jen na určitých místech?
Krátká odpověď: povinnost péče neustanovuje konkrétní technologie, ale požaduje opatření odpovídající riziku. U systémů, které jsou přístupné na dálku, jako je e-mail, váš ERP systém, připojení VPN nebo ovládací panel vaného softwaru pro plánování a fakturaci, se vícefaktorová ověřování obvykle považuje za základní opatření. U přístupu do budovy, do skříně s klíči nebo do systému u zákazníka na místě je situace jemnější, a zde se nachází praktická otázka pro řadu instalačních firem.
Kde se vícefaktorová ověřování obvykle očekává
Základní logika je jednoduchá: čím dále je systém od vaší vlastní kanceláře, a čím citlivější jsou data, která se za ním skrývají, tím silnější ochrana by měla být na místě. Instalatér, který se přihlašuje ke firemní síti ze svého telefonu, kancelářský pracovník, který má z domova přístup ke správě, nebo vedoucí, který na dálku spravuje plánování: to jsou všechna místa, kde je samotné heslo zranitelné vůči phishingu nebo opětovnému použití uniklých přihlašovacích údajů. Vícefaktorová ověřování zajišťuje, že odcizené heslo samo o sobě nestačí k přístupu.
Totéž platí pro účty se zvýšenými právy: správce sítě, vlastník cloudového prostředí nebo osoba, která může schvalovat faktury. Právě tyto účty jsou pro útočníka nejcennější, a právě zde se často jako první hledají v kontrolním seznamu bezpečnosti od zadavatele. Kdo chce vědět více o tom, co se v něm přesně vyskytuje, najde to na stránce o tématech vypracovaných podle odvětví.
Kde je situace jemnější: systémy u zákazníků na místě
Instalační firmy často pracují na místě: u zákazníka doma, v podnikatelském objektu nebo na stavbě. Tam vznikají situace, které nejsou přímo srovnatelné s kancelářskou prací. Instalatér, který se musí přihlásit do budovního systému řízení zákazníka, často používá přihlašovací údaje spravované samotným zákazníkem, nikoli údaje vlastní firmy. Otázka, kdo tam zajistí vícefaktorové ověřování a kdo jej sleduje, primárně leží na vlastníkovi tohoto systému, nikoli na instalační firmě, která tam má dočasný přístup.
Také sdílené zařízení v podnikatelském automobilu, například tablet používaný více instalatéry, je praktickým případem, kdy přísná povinnost MFA může být v rozporu s praktičností práce na ulici. To neznamená, že bezpečnost tam zmizí, ale spíše že její implementace může být jiná: například krátká doba trvání relace, samostatný účet pro každého instalatéra místo sdíleného účtu, nebo přístup, který se automaticky vyprší po skončení práce. Dohledové orgány a zadavatelé se při tom zaměřují zejména na to, zda byla učiněna vědomá úvaha, nikoli na to, zda je v každém místě použito přesně stejné technické řešení.
Rozdíl mezi fyzickými klíči a přístupem do budov na jedné straně a digitálním přístupem k systémům na straně druhé je také věc, na kterou instalační firmy často dostávají otázky. Kdo chce toto téma podrobněji prozkoumat, najde si vypracování otázky, kdo a kde má povolení, na stránce o řízení přístupu v branši.
Co to znamená pro komunikaci se zadavatelem
Bezpečnostní dotazník často klade jednoduchou otázku ano/ne na MFA, zatímco praxe je nuancovanější. Pomáhá, když můžete prokázat u každého systému, kde je vícestupňové ověřování nastaveno, proč bylo tam zvoleno, a jak se zachází s výjimkami. To je přesně místo, kde má dlouhodobý registr hodnotu: ne jen zaškrtnutí u opatření, ale doklad a vlastník pro každý systém, takže odpověď na dotazník je správná a podložená.
Zda vaše společnost podléhá povinnosti péče, je zasažena řetězcem, nebo ani jedním z nich, lze zjistit pomocí několika otázek v bezplatné kontroly, která zmapuje vaši situaci. Pro ty, kdo chcují vědět přesně, jak secria.eu získává své informace a které zdroje jsou používány, je to vysvětleno na stránce o tom, jak platforma funguje. A pro konkrétní otázky o tom, co do povinnosti péče patří a co ne, je k dispozici přehled s odpověďmi na otázky, které instalační společnosti často kladou.
Vícestupňové ověřování není cíl sám o sobě, ale jedním z pilířů registru, který ukazuje, že přístup k systémům je promyšleně organizován. Pro situaci vašeho vlastního podnikání, s jeho vlastními systémy a postupem na místě, zůstává potřebné vlastní zvážení; znalostní báze a rychlá kontrola pomáhají tento úsudek učinit se správnými informacemi.