Είναι η πολυπλή επαλήθευση (MFA) υποχρεωτική για έναν παροχέα υπηρεσιών ΤΠΕ; Μια σύντομη απάντηση δεν υπάρχει, και αυτό είναι ακριβώς το λόγο για τον οποίο αυτή η ερώτηση επανέρχεται συχνά στις αρχές επίβλεψης, τους εργοδότες και στα ερωτηματολόγια ασφάλειας. Η Οδηγία NIS2 αναφέρει τη πολυπλή πιστοποίηση ή τη συνεχή πιστοποίηση ρητώς ως παράδειγμα ενός μέτρου που ανήκει στη υποχρέωση φροντίδας, αλλά δεν καθορίζει σε ποιο σύστημα, για ποιον και σε ποια χρονική στιγμή πρέπει να εφαρμοστεί. Αυτή η υλοποίηση εξαρτάται από την ίδια την οργάνωση, και αυτό κάνει το θέμα πιο δύσκολο από ένα απλό ναι ή όχι.
Αυτό που είναι σαφές: μόλις ένας λογαριασμός παρέχει πρόσβαση από απόσταση σε συστήματα, δεδομένα ή υποδομή ενός πελάτη, οι αρχές επίβλεψης και οι εργοδότες αναμένουν περισσότερα από ένα απλό κωδικό πρόσβασης. Αυτό ισχύει για το δικό σας προσωπικό, για τους υποανάδοχους και για τις προσωρινές δικαιώσεις πρόσβασης που ανακαλούνται μετά από ένα έργο. Όπου αυτή η προσδοκία είναι λιγότερο έντονη, είναι στην εσωτερική, χαμηλού κινδύνου πρόσβαση που δεν είναι προσβάσιμη από το εξωτερικό. Εκεί βρίσκεται το όριο που αναπτύσσει περαιτέρω αυτό το άρθρο.
Γιατί η MFA εμφανίζεται σε σχεδόν κάθε ερωτηματολόγιο
Ως παροχέας υπηρεσιών ΤΠΕ, είστε συχνά το μέρος που συνδέεται από απόσταση για λογαριασμό ενός πελάτη, εκτελεί ενημερώσεις ή επιλύει προβλήματα. Ακριβώς αυτή η διαδρομή πρόσβασης είναι ελκυστική για έναν επιτιθέμενο: ένας κλεμμένος κωδικός πρόσβασης μπορεί στη συνέχεια να δώσει πρόσβαση σε πολλαπλά περιβάλλοντα πελατών ταυτόχρονα. Οι εργοδότες που αυτοί ο ίδιοι υπόκεινται στη υποχρέωση φροντίδας πρέπει να αξιολογήσουν τους προμηθευτές τους, και η πολυπλή επαλήθευση στην πρόσβαση από απόσταση είναι ένα από τα πρώτα πράγματα που ζητούνται. Όποιος δεν έχει απάντηση για αυτό, παρατηρεί ότι τα ερωτηματολόγια διαρκούν περισσότερο ή ότι ένα συμβόλαιο παραμένει σε αναμονή.
δείτε με μερικές ερωτήσεις εάν η οργάνωσή σας επηρεάζεται μέσω της αλυσίδας τροφοδοσίας δίνει μια πρώτη ένδειξη του πόσο δυσκολή μπορεί να είναι αυτού του είδους οι απαιτήσεις για σας. Για έναν παροχέα υπηρεσιών ΜΜΕ που εργάζεται για πολλαπλούς υπόχρεους πελάτες, υπάρχει μεγάλη πιθανότητα ότι η ίδια ερώτηση επανέρχεται συχνά, μόνο με ελαφρώς διαφορετική διατύπωση.
Πού αναμένεται δομικά η MFA
Τρεις διαδρομές πρόσβασης εμφανίζονται στην πράξη συχνότερα ως μέρος όπου πρέπει να υπάρχει η πολυπλή επαλήθευση. Πρώτον, διαχείριση από απόσταση: κάθε σύνδεση με την οποία ένας διαχειριστής από έξω του δικτύου μπορεί να φτάσει ένα σύστημα, συμπεριλαμβανομένης της πρόσβασης VPN και των συνδέσεων απομακρυσμένης επιφάνειας εργασίας. Δεύτερον, πρόσβαση στα συστήματα του πελάτη: λογαριασμοί που δημιουργήθηκαν ειδικά για σύνδεση με έναν εργοδότη, ιδίως όταν αυτή η πρόσβαση δίνει δικαιώματα διαχειριστή. Τρίτον, υποανάδοχοι και εξωτερικά μέρη που εκτελούν εργασίες για λογαριασμό σας σε έναν πελάτη· η πρόσβαση τους υπόκειται στην ίδια προσδοκία, ακόμα κι αν ο υποανάδοχος δεν εμφανίζεται απευθείας στο ερωτηματολόγιο.
Σε αυτές τις τρεις κατηγορίες, το μοτίβο είναι πάντα το ίδιο: όσο περισσότερη απόσταση έχει η πρόσβαση από το δικό σας δικό, φυσικά θωρακισμένο δίκτυο, τόσο ισχυρότερη είναι η προσδοκία ότι υπάρχει ένα δεύτερο βήμα επαλήθευσης.
Πού η συζήτηση παραμένει ακόμη ανοιχτή
Μέσα σε ένα δικό του γραφείο δικτύου, για ένα λογαριασμό που λειτουργεί μόνο τοπικά και χωρίς εξωτερική σύνδεση, η ανάγκη για MFA είναι λιγότερο σαφής. Αυτό δεν σημαίνει ότι είναι ασήμαντο, μόνο ότι η κατανομή εκεί αφορά περισσότερο κίνδυνο και αναλογικότητα παρά μια αυστηρή νόρμα. Η ίδια λεπτότητα ισχύει για κοινούς λειτουργικούς λογαριασμούς που δεν είναι συνδεδεμένοι με ένα άτομο: αυτοί ζητούν μια διαφορετική λύση από ένα δεύτερο βήμα ανά άτομο, για παράδειγμα καταργώντας τον λογαριασμό υπέρ των προσωπικών διαπιστευτηρίων.
Είναι αυτή η κατηγορία που τα οργανισμοί αγωνίζονται συχνότερα όταν φτάσει ένα ερωτηματολόγιο ασφάλειας: όχι τις σαφείς περιπτώσεις, αλλά τα συστήματα που πέφτουν κάπως ενδιάμεσα. διαβάστε την εξήγηση ανά κατάσταση βοηθά να δείτε σε ποια κατηγορία ένα συγκεκριμένο σύστημα πιθανότατα εμπίπτει, χωρίς να χρειάζεται πρώτα να διαβάσετε ολόκληρη την Οδηγία.
Τι σημαίνει αυτό για το δικό σας αρχείο
Για την υποχρέωση φροντίδας δεν μετράει μόνο εάν έχει ενεργοποιηθεί η πολλαπλή επαλήθευση, αλλά και εάν αυτό είναι αποδεδειγμένο: ποιος έλαβε την απόφαση, σε ποια συστήματα είναι ενεργοποιημένη και ποια είναι η κατάσταση των συστημάτων όπου λείπει ακόμη. Αυτό είναι ακριβώς το είδος τεκμηρίωσης που απαιτεί ένα ζωντανό αρχείο αντί για μια μεμονωμένη ενέργεια. Εάν αμφιβάλλετε για το πόσο αυστηρά πρέπει να αξιολογηθεί μια συγκεκριμένη πρόσβαση, η αρχή ελέγχου ή ένας νομικός συμβουλός παραμένουν το κατάλληλο μέρος για να το αξιολογήσουν για την κατάστασή σας. αυτή η εξήγηση προορίζεται να διευκρινίσει το ερώτημα, όχι να το αντικαταστήσει.
Περίεργος πώς αυτό το θέμα αντιμετωπίζεται στο δικό σας αρχείο; διαβάστε από πού προέρχονται οι πληροφορίες στο secria.eu δείχνει πώς διατηρούμε τις πηγές και ο δωρεάν έλεγχος NIS2 δίνει μια πρώτη εικόνα του πού στέκεστε σε λίγα λεπτά.