Er multifaktorgodkendelse (MFA) obligatorisk for en ICT-tjenesteudbyder? Et kort svar findes ikke, og det er præcis derfor, dette spørgsmål så ofte dukker op hos tilsynsmyndigheder, ordregivere og i securityspørgeskemaer. NIS2-direktivet nævner multifaktor-autentificering eller kontinuerlig autentificering eksplicit som eksempel på en foranstaltning, der hører til compliance-forpligtelsen, men foreskriver ikke, på hvilket system, for hvem og hvornår dette skal gælde. Den nærmere udformning ligger hos organisationen selv, og det gør emnet sværere end et simpelt ja eller nej.
Hvad der er klart, er: så snart en konto giver fjernacces til systemer, data eller infrastruktur hos en kunde, forventer tilsynsmyndigheder og ordregivere, at der står mere end blot en adgangskode. Det gælder for eget personale, for underleverandører og for midlertidig adgang, der tilbagekaldes efter et projekt. Hvor forventningen er mindre stærk, er ved intern, lavrisiko-adgang, der ikke er tilgængelig udefra. Det er grænsen, denne artikel udarbejder nærmere.
Hvorfor MFA optræder i næsten hvert spørgeskema
Som ICT-tjenesteudbyder er du ofte den part, der logger sig ind på fjernbasis for en kunde, udfører opdateringer eller løser fejl. Præcis denne adgangssti er attraktiv for en angriber: ét stjålet kodeord kan give adgang til flere kundemiljøer på én gang. Ordregivere, der selv omfattes af compliance-forpligtelsen, skal vurdere deres leverandører, og multifaktorgodkendelse på fjernacces er blandt de første ting, der spørges om. Hvis du ikke har et svar på dette, vil du bemærke, at spørgeskemaer bliver længere, eller at en kontrakt sættes på hold.
få på få spørgsmål en første indikation af, om din organisation påvirkes gennem leverandørkæden giver en første vejledning om, hvor hårdt denne slags krav kan ramme dig. For en SMV-tjenesteudbyder, der arbejder for flere compliance-pligtige kunder, er sandsynligheden stor for, at det samme spørgsmål dukker op igen og igen, blot med lidt anden ordlyd.
Hvor MFA strukturelt forventes
Tre adgangsstier dukker op oftest i praksis som sted, hvor multifaktorgodkendelse skal være til stede. For det første fjernadministration: enhver forbindelse, hvormed en administrator udefra kan få adgang til et system, herunder VPN-adgang og fjernskrivebordsforbindelser. For det andet adgang til kundesystemer: konti, der specifikt er oprettet til at logge ind hos en ordregiver, især når denne adgang giver administratorrettigheder. For det tredje underleverandører og eksterne parter, der udfører arbejde på en kundes vegne; deres adgang falder under samme forventning, selvom underleverandøren selv ikke direkte optræder i spørgeskemaet.
Hos disse tre kategorier er mønsteret altid det samme: jo længere adgangen ligger væk fra ens eget, fysisk afskærmet netværk, jo stærkere er forventningen om, at et andet verifikationstrin er til stede.
Hvor diskussionen stadig er åben
Inden for ét eget kontornetværk, for en konto, der kun virker lokalt og uden ekstern forbindelse, er behovet for MFA mindre entydig. Det betyder ikke, at det er uvæsentligt, men at afvejningen der mere handler om risiko og proportionalitet end om en hård norm. Den samme nuance gælder for delte funktionelle konti, der ikke er knyttet til en enkeltperson: de kræver en anden løsning end et andet trin pr. person, f.eks. ved at fjerne kontoen til fordel for personlige loginoplysninger.
Det er denne kategori, organisationer oftest kæmper med, når et securityspørgeskema kommer ind: ikke de klare tilfælde, men de systemer, der ligger et eller andet sted derimellem. læs forklaringen pr. situation igennem hjælper til at se, hvilken kategori et specifikt system sandsynligvis falder ind under, uden at du først skal læse hele direktivet.
Hvad det betyder for dit eget dossier
For lovpligten tæller det ikke kun, om MFA er aktiveret, men også om det kan dokumenteres: hvem tog beslutningen, på hvilke systemer er det slået til, og hvad er status på de systemer, hvor det stadig mangler. Det er præcis den slags dokumentation, som et levende dossier kræver i stedet for en engangsforanstaltning. Hvis du er usikker på, hvor strengt en specifik adgang skal vurderes, er tilsynsmyndigheden eller en juridisk rådgiver den rette part til at vurdere det for din situation; denne forklaring er beregnet til at præcisere spørgsmålet, ikke til at erstatte det.
Nysgerrig efter, hvordan dette emne kommer ind i dit eget dossier? læs hvor informationen på secria.eu kommer fra viser, hvordan vi vedligeholder kilder, og det gratis NIS2-check giver på få minutter et første billede af, hvor du står.