Multifaktor-autentificering, også kendt som tofaktorgodkendelse eller MFA, betyder login med noget, du ved (en adgangskode) OG noget, du har (en kode på din telefon, en nøgle eller en app). For installatørbedrifter, der falder under NIS2-omsorgspligten, eller som leverandør modtager et sikkerhedsspørgeskema, er dette ét af de mest stillede spørgsmål: skal det være det hele steder, eller kun på bestemte steder?
Det korte svar: omsorgspligten foreskriver ingen bestemt teknologi, men kræver foranstaltninger, der passer til risikoen. For systemer, der er tilgængelige eksternt, såsom e-mail, dit ERP-system, VPN-forbindelsen eller administrationsportalen for din planlægnings- og faktureringssoftware, betragtes multifaktor-autentificering normalt som en grundlæggende foranstaltning. For adgang til en ejendom, et nøgleskab eller et system hos en kunde på lokationen er billedet mere nuanceret, og det er her, mange installatørbedrifter har det praktiske spørgsmål.
Hvor multifaktor-autentificering normalt forventes
Logikken er simpel: jo længere væk et system er fra dit eget kontor, og jo mere følsomme dataene bag det er, desto stærkere beskyttelse bør være på plads. En installatør, der logger ind på virksomhedsnettverket fra sin telefon, en kontormedarbejder, der kan få adgang til administrationen hjemmefra, eller en leder, der eksternt kan få adgang til planlægningen: det er alle steder, hvor en adgangskode alene er sårbar over for phishing eller genbrug af lekket login-oplysninger. Multifaktor-autentificering sikrer, at en stjålet adgangskode alene ikke er tilstrækkelig til at få adgang.
Det samme gælder konti med øgede rettigheder: netværksadministratoren, ejeren af cloudmiljøet, eller den person, der kan godkende fakturaer. Netop disse konti er mest værdifulde for en angriber, og netop her spørges der normalt først efter i et sikkerhedsspørgeskema fra en klient. Enhver, der gerne vil vide mere om, hvad der præcist indgår deri, finder det på siden om de emner, der er udarbejdet pr. sektor.
Hvor billedet er mere nuanceret: systemer hos kunder på lokationen
Installatørbedrifter arbejder ofte på lokationen: hos en kunde derhjemme, i en forretningsejendom eller på en byggeplads. Der opstår situationer, der ikke direkte kan sammenlignes med kontorarbejde. En installatør, der skal logge ind på et byggestyrings system hos kunden, bruger ofte login-oplysninger, som kunden selv administrerer, og ikke dem fra sin egen virksomhed. Spørgsmålet om, hvem der reguleringssætter multifaktor-autentificering der, og hvem der fører tilsyn dermed, ligger primært hos ejeren af det system, ikke hos installatørbedriften, der midlertidigt har adgang til det.
Delt udstyr i en firmabil, såsom en tablet, der bruges af flere installatører, er også et praktisk eksempel, hvor et strikt MFA-krav kan skure mod arbejdbarhed på vejen. Det betyder ikke, at sikkerhed forsvinder der, men snarere, at implementeringen kan være anderledes: for eksempel en kort sessionvarighed, en separat konto pr. installatør i stedet for en delt konto, eller adgang, der automatisk udløber efter arbejdet. Tilsynsmyndigheder og klienter ser især på, om der er foretaget en bevidst afvejning, ikke på, om præcis den samme tekniske løsning er gennemført alle steder.
Sondringen mellem fysiske nøgler og bygningsadgang på den ene side og digital adgang til systemer på den anden er også noget, installatørbedrifter ofte får spørgsmål om. Enhver, der ønsker at undersøge emnet mere bredt, finder en udredning af, hvem der må gøre hvad, på siden om adgangskontrol i branchen.
Hvad det betyder for samtalen med en kontraktpart
En sikkerhedsspørgeskemaet stiller ofte et simpelt ja/nej-spørgsmål om multifaktor-godkendelse, mens praksis er mere nuanceret. Det hjælper at kunne vise per system, hvor multifaktor-godkendelse er implementeret, hvorfor det blev valgt der, og hvordan undtagelser håndteres. Det er præcis det, som et levende dossier tilføjer værdi: ikke blot et flueben ved en foranstaltning, men et bevisstykke og en ejer pr. system, således at svaret på spørgeskemaet stemmer og er underbygget.
Hvorvidt dit firma er omfattet af pligten til at træffe sikkerhedsforanstaltninger, påvirkes via leverandørkæden, eller ingen af delene, kan ses med få spørgsmål via den gratis kontrol, der kortlægger din situation. For dem, der præcist vil vide, hvordan secria.eu kommer til sin information, og hvilke kilder der bruges, er det forklaret på siden om, hvordan platformen fungerer. Og for konkrete spørgsmål om, hvad der er omfattet af pligten til at træffe sikkerhedsforanstaltninger, og hvad der ikke er, findes der et oversigt med svar på spørgsmål, som installatørbedrifter ofte stiller.
Multifaktor-godkendelse er ikke et mål i sig selv, men en af byggestenene i et dossier, der viser, at adgang til systemer er gennemtænkt reguleret. For situationen i dit eget firma, med dets egne systemer og arbejdsgang på lokation, er en egen vurdering stadig nødvendig; videnbanken og quick-scan'et hjælper med at foretage denne vurdering med de rette informationer.