Multifaktorgodkendelse — ofte forkortet MFA, en ekstra kontrol ved siden af adgangskoden, for eksempel en kode på telefonen — er ikke eksplicit angivet som et krav i NIS2-direktivet eller cybersikkerhedsloven. Det, der skal ske ifølge driftssikkerhedspligten i artikel 21, er, at organisationer implementerer passende tekniske og organisatoriske foranstaltninger for blandt andet adgangskontrol. For de fleste kontorsystemer, cloudapplikationer og ekstern adgang i metal- og fremstillingsindustrien betyder det i praksis næsten altid: ja, multifaktorgodkendelse hører med til det. For maskiner og styresystemer på produktionsgulvet er situationen mere nuanceret, og denne artikel går nærmere ind på det.
Forskellen ligger i, hvad et system teknisk kan klare, og hvad risikoen er, hvis en adgangskode alene ikke viser sig at være tilstrækkelig. En loginportal til fjernarbejde eller en cloudadministration kan næsten altid håndtere et ekstra godkendelsestrin. En tyve år gammel PLC-console på produktionsgulvet ofte ikke, og så skifter spørgsmålet fra "MFA eller ej" til "hvilken anden foranstaltning kompenserer for dette".
Hvad driftssikkerhedspligten forventer af jer
Driftssikkerhedspligten nævner ingen fast liste over produkter eller mærker. Tilsynsmyndigheder og selve direktivet taler om foranstaltninger, der passer til risiciene, den aktuelle stand inden for teknikken og omkostningerne ved gennemførelse. Adgangskontrol er et af de tilbagevendende emner her: hvem må få adgang til hvad, hvordan kontrolleres det, og hvad sker der, hvis en adgangskode bliver stjålet eller gættet. Multifaktorgodkendelse er i dag en af de mest almindelige måder at besvare det spørgsmål på, og den forekommer derfor i næsten alle udformninger af denne foranstaltning, som vi støder på — også hos tilsynsmyndigheder i andre medlemsstater. Hvordan dette præcist er implementeret i jeres land, og hvilken yderligere vejledning tilsynsmyndigheden giver dertil, kan I gennemse via gennemse udformningen efter emne.
Hvor multifaktorgodkendelse normalt forventes
I en metalvirksomhed eller fremstillingsvirksomhed er de steder, hvor dette mest for sig ligger, ofte de samme: adgang til cloudmiljøet og administrationen, medarbejdernes indbakke, ekstern adgang via VPN for dem, der arbejder på afstand, og først og fremmest kontiene med administratorrettigheder — IT-administratoren, systemadministratoren for ERP-pakken, den person, som kan få adgang til sikkerhedskopierne. Netop disse administratorkonti er attraktive for angribere, fordi én stjålet adgangskode der giver adgang til meget mere end blot ét mailboksen. Opdragsgivere, som sender et sikkerhedsspørgeskema, stiller næsten altid eksplicit spørgsmål her, og et tomt svar på det spørgsmål er normalt sværere at forklare end et ærlidt "endnu ikke overalt, med denne tidsplan".
Hvor produktionssystemer kræver en anden tilgang
Produktionsgulvet er en anden sag. En CNC-maskine, et SCADA-system eller en PLC, som varer årtier, er ofte ikke konstrueret med en loginskærm, der understøtter et ekstra godkendelsestrin. Her erstatter driftssikkerhedspligten ikke det umulige med et krav, men flytter fokus over på andre, supplerende foranstaltninger: at isolere systemet i et separat netværkssegment, at begrænse fysisk adgang til betjeningsrummet, og at dokumentere godt, hvem der kunne få adgang til hvilken maskine hvornår. Segmentering — at holde produktionsnetværket adskilt fra kontornetværket — er i sådanne tilfælde ofte den foranstaltning, der udfylder det hul, som multifaktorgodkendelse lukker andre steder. Hvor en maskine faktisk er forbundet til virksomhedsnetværket, for eksempel til ekstern overvågning eller softwareopdateringer, tæller forbindelsen selv som en risiko, der kræver opmærksomhed, selvom det ikke ændrer noget ved maskinens teknik.
Hvordan I gør denne forskel i praksis
Et brugbart første skridt er en oversigt over alle systemer, der giver adgang til forretningsdata eller produktionsprocesser, med for hvert system spørgsmålet: kan dette teknisk håndtere multipel godkendelse, og hvis ikke, hvad gør vi så i stedet. Denne oversigt er præcis hvor en levendigt dossier beviser sin værdi, fordi ét svar fra i dag kan ændres af en softwareopdatering i morgen. Uanset om jeres organisation selv falder under reguleringspligten, eller om I får dette spørgsmål, fordi en klient kræver det af jer, kan I i fem spørgsmål se hvor du står. Du er usikker på begreber som segmentering eller administratorkonti, så er svaret på hyppigt stillede spørgsmål klar.
Multipel godkendelse er altså ikke et flueben, der ser ens ud overalt, men en foranstaltning, der får en anden form for hvert system. For jeres egen situation og for spørgsmålet om en bestemt undtagelse for jeres maskiner er forsvarlig over for en klient eller tilsynsmyndighed, forbliver juridisk rådgivning eller kontakt til tilsynsmyndigheden den rigtige vej — secria.eu beskriver, hvad der er gældende, og hjælper med at dokumentere det, men tager ikke stilling til jeres individuelle situation.
Vil I have denne oversigt til at se hos jeres egen virksomhed, herunder de systemer, der er relevante for jer og dem, der ikke er det? Foretag den gratis hurtigscan, eller læs først emnerne igennem.