Vícefaktorové ověřování — často zkracované jako MFA, dodatečná kontrola vedle hesla, například kód na telefonu — není výslovně uvedeno jako povinnost v direktivě NIS2 nebo v Zákoně o kybernetické bezpečnosti. Co je však uvedeno v povinnosti péče v článku 21, je, že organizace přijmou vhodná technická a organizační opatření mimo jiné pro zabezpečení přístupu. Pro většinu kancelářských systémů, cloudových aplikací a vzdáleného přístupu v metalurgickém a výrobním průmyslu to v praxi znamená téměř vždy: ano, vícefaktorové ověřování k tomu patří. Pro stroje a řídicí systémy v provozu je to nuancovanější, a tento článek se tím zabývá podrobněji.
Rozdíl spočívá v tom, co systém technicky zvládne a jaké je riziko, pokud se heslo само o sobě ukáže jako nedostatečné. Přihlašovací portál pro práci z domova nebo cloudová správa mohou téměř vždy přidat dodatečný ověřovací krok. Dvacet let starou konzolu PLC v provozu často nemohou, a pak se otázka přesune od "MFA nebo ne" na "které jiné opatření to kompenzuje".
Co od vás povinnost péče očekává
Povinnost péče neurčuje pevný seznam produktů nebo značek. Dohledové orgány a samotná směrnice mluví o opatřeních, která odpovídají rizikům, stavu techniky a nákladům na jejich provádění. Zabezpečení přístupu je přitom jedním z opakujících se témat: kdo má k čemu přístup, jak se to kontroluje, a co se stane, pokud je heslo odcizeno nebo uhodnuto. Vícefaktorové ověřování je v současné době jedním z nejběžnějších způsobů, jak na tuto otázku odpovědět, a proto se objevuje v téměř každé realizaci tohoto opatření, kterou se setkáváme — také u dohledových orgánů v ostatních členských státech. Jak bylo konkrétně převedeno ve vaší zemi a jaké další vysvětlení k tomu dohledový orgán dává, si můžete ověřit pomocí projít realizaci podle tématu.
Kde se vícefaktorové ověřování obvykle očekává
V kovářském nebo výrobním podniku jsou místa, kde je to nejrealističtější, často ta stejná: přístup do cloudového prostředí a správy, doručovny zaměstnanců, vzdálený přístup přes VPN pro ty, kteří pracují na dálku, a především účty s právy správce — správce IT, správce systému balíčku ERP, osoba, která má přístup k zálohám. Právě tyto účty správce jsou pro útočníka atraktivní, protože jedno odcizené heslo mu okamžitě dá přístup k mnohem více než jen jedné schránce. Objednávatelé, kteří posílají seznam bezpečnostních otázek, se zde téměř vždy výslovně ptají a prázdná odpověď na tuto otázku se obvykle snadněji nevysvětlí než upřímné "zatím ne všude, s tímto časovým plánem".
Kde výrobní systémy vyžadují jiný přístup
Provoz je jiný příběh. CNC stroj, SCADA systém nebo PLC, která vydržují desetiletí, často nejsou postaveny s přihlašovací obrazovkou, která by podporovala další ověřovací krok. Zde povinnost péče nenahrazuje nemožné povinností, ale přesouvá pozornost na další doplňující opatření: izolovat systém v samostatném síťovém segmentu, omezit fyzický přístup do ovládacího prostoru a dobře zaznamenat, kdo a kdy měl přístup ke kterému stroji. Segmentace — oddělení výrobní sítě od kancelářské sítě — je v takových případech často opatřením, které vyplňuje mezeru, kterou vícefaktorové ověřování zaplňuje jinde. Pokud je stroj skutečně připojen k podnikové síti, například pro vzdálené sledování nebo aktualizace software, samotné spojení se počítá jako riziko, které vyžaduje pozornost, i když to nezmění nic na technologií stroje.
Jak toto rozlišení uděláte v praxi
Užitečným prvním krokem je přehled všech systémů, které poskytují přístup k obchodním údajům nebo výrobním procesům, s otázkou na jednotlivé systémy: může tento systém technicky podporovat vícefaktorové ověřování a pokud ne, co uděláme místo toho. Takový přehled je přesně tam, kde si živý spis dokazuje svou hodnotu, protože jedna odpověď z dnešního dne se může změnit kvůli softwarové aktualizaci zítřka. Ať už vaše organizace sama podléhá povinnosti péče o bezpečnost, nebo dostáváte tuto otázku proto, že si ji od vás vyžádal zadavatel, můžete v pěti otázkách si objasnit vaši situaciPokud si nejste jisti pojmy jako segmentace nebo účet správce, najdete tam také odpovědi na často kladené otázky připraveny.
Vícefaktorové ověřování tedy není zaškrtnutím, které vypadá všude stejně, ale opatřením, které se na jednotlivé systémy aplikuje jinak. Pro vaši vlastní situaci a otázku, zda je specifická výjimka pro vaše stroje obhajitelná vůči zadavateli nebo dozorujícímu orgánu, zůstává právní porada nebo konzultace s dozorujícím orgánem správným postupem — secria.eu popisuje, co se uplatňuje, a pomáhá to zaznamenat, ale nedělá si nárok na posouzení vaší individuální situace.
Chcete vidět tento přehled pro svou firmu, včetně systémů, které jsou u vás a nejsou v úvahu? Proveďte bezplatný quick-scan nebo si nejdřív přečtěte jednotlivá témata.