Vícestupňové ověřování, často označované jako MFA, je druhá kontrola nad heslem: kód z aplikace, SMS nebo fyzický klíč. Otázka, zda je to povinné pro softwarovou firmu, se nedá odpovědět jedním ano nebo ne, protože směrnice NIS2 nepředepisuje konkrétní techniku. Článek 21 zavazuje organizace spadající pod povinnost péče k přiměřeným opatřením pro kontrolu přístupu a vícestupňové ověřování; regulátoři se přitom zaměřují na místa s největším rizikem.
V praxi se pro softwarovou firmu jedná o dvě velmi odlišná místa: vývojová linka, kterou sami používáte, a software, který dodáváte zákazníkům. Obě vyžadují vlastní posouzení a toto posouzení není všude stejně přísné.
Dvě místa, kde hraje roli vícestupňové ověřování
Prvním místem je interní prostředí: prostředí, ve kterém vaši vývojáři pracují. Zdrojový kód, vývojová linka, cloudové konzole a systémy, kterými nasazujete do produkce. Druhým místem je samotný produkt: pokud má software, který vytváříte nebo dodáváte, přihlašovací obrazovku, je vícestupňové ověřování tématem i tam, a to jak pro vaše vlastní uživatele, tak pro koncové uživatele vašeho zákazníka. Bezpečnostní dotazník od zadavatele téměř vždy ptá na obojí, často v samostatných otázkách, které jsou formulovány jinak, než byste čekali.
Při přístupu k vaší vývojové lince
Zde je nejsilnější očekávání. Kdo má přístup ke zdrojovému kódu, kdo může nasadit do produkce a kdo má oprávnění správce v cloudovém prostředí, představuje největší riziko, pokud je heslo pouze ukradeno nebo opakovaně použito. Pro tyto účty platí vícestupňové ověřování v téměř každém bezpečnostním rámci jako základní opatření a je to také to, co regulátoři a zákazníci očekávají jako první. Správa verzí, samotná vývojová linka a zejména každý účet s oprávněním nasadit kód do produkce by měly bez výjimky být chráněny druhým krokem.
To také znamená pohled na to, kdo má přístup skutečně ještě potřebovat. Dokumentace, která uvádí pro každý systém, kdo má přístup a proč, usnadňuje odpověď na tuto otázku v dotazníku konkrétní odpovědí místo předpokladu. jak se přístupová kontrola a vícestupňové ověřování vysvětlují pro jednotlivé témata zde poskytuje výchozí bod.
Pro software, který dodáváte
Druhou rovinou je samotný software. Pokud má váš produkt funkci přihlášení, otázka, zda nabízíte vícestupňové ověřování, se téměř vždy vrací v bezpečnostním dotazníku a někdy dokonce jako smluvní požadavek. To je jiné posouzení než u vaší vlastní vývojové linky: zde nejde o to, co sami používáte, ale o to, co dodáváte svému zákazníkovi. Zadavatel, který sám spadá pod povinnost péče, musí podle článku 21 posoudit také svou dodavatelský řetězec, a otázka, zda váš produkt podporuje silné ověřování, k tomu patří.
Odpověď nemusí být, že je všude povinně zapnuto. Často stačí prokázat, že možnost existuje, že jsou uživatelé k jejímu použití vybízeni a že máte plán na rozšíření tam, kde to riziko odůvodňuje.
Kde to není tak samozřejmé
Není každý účet ani každé prostředí vyžadují stejnou míru zabezpečení. Testovací prostředí bez skutečných údajů zákazníků, interní dokumentační systém pouze s právy ke čtení nebo samostatný nástroj, který příležitostně používá jeden vývojář, mají jiný profil rizika než účet s přístupem do produkčního prostředí. Povinnost péče vyžaduje opatření odpovídající rizikům, nikoliv jednotně vysokou úroveň zabezpečení na všech místech. Dohledové orgány posuzují to na základě proporcionality, což znamená, že zdůvodněné rozhodnutí neuplatnit vícefaktorové ověření na určitém místě může být součástí dokumentace stejně dobře jako místa, kde je ověření na místě.
Zdůvodnění je zde nejdůležitější slovo. Rozhodnutí bez vysvětlení se v dotazníku snadno jeví jako vynechání, zatímco stejné rozhodnutí s krátkou odůvodněním je často právě odpověď, kterou zadavatel hledá.
Co to znamená pro komunikaci se zadavatelem
Zadavatel, který zašle dotazník, obvykle nechce vědět, zda splňujete každou písmenko, nýbrž zda víte, kde jsou vaše rizika a jak si jich vědomě stojíte. U vícefaktorového ověření to znamená: umět ukázat, co je nasazeno na vývojové trase, co je v produktu a proč je zbytek konfigurován jinak. Kdo to na systém za systémem zaznamenal se stavem a odpovědnou osobou, nemusí otázku znovu řešit, jakmile přijde další dotazník.
To, jak se to konkrétně podepíše na vaší organizaci, závisí na vaší roli v dodavatelském řetězci a na tom, co konkrétně vaši zákazníci žádají; v případě pochybností se poraďte se samotným textem směrnice nebo s poradcem. Chcete-li nejdřív vědět, kde stojíte, pak bezplatná kontrola v několika otázkách poskytuje první představu, a vysvětlení, odkud informace pocházejí ukazuje, jak se tato představa vytváří.
Chcete-li se podrobněji dozvědět, jak se toto téma vztahuje k ostatním opatřením z povinnosti péče, najdete to v přehledu témat podle situaceRychlá kontrola a znalostní báze jsou volně přístupné bez nutnosti si vytvořit účet.