Η πολυπλοκή επαλήθευση, γνωστή και ως επαλήθευση δύο σταδίων ή MFA, είναι η σύνδεση με κάτι που γνωρίζετε (ένα κωδικό πρόσβασης) και κάτι που έχετε (ένα κωδικό στο τηλέφωνό σας, ένα κλειδί ή μια εφαρμογή). Για εταιρείες εγκατάστασης που υπόκεινται στη υποχρέωση δέουσας επιμέλειας του NIS2 ή που λαμβάνουν σαν προμηθευτής ένα ερωτηματολόγιο ασφάλειας, αυτή είναι μία από τις πιο συχνές ερωτήσεις: πρέπει αυτό παντού, ή μόνο σε ορισμένα σημεία;
Η σύντομη απάντηση: η υποχρέωση δέουσας επιμέλειας δεν επιβάλλει καμία τεχνολογία, αλλά ζητά μέτρα που ταιριάζουν στον κίνδυνο. Για συστήματα που είναι προσβάσιμα από απόσταση, όπως ηλεκτρονικό ταχυδρομείο, το σύστημα ERP σας, η σύνδεση VPN ή το πάνελ διαχείρισης του λογισμικού σχεδιασμού και τιμολόγησης σας, η πολυπλοκή επαλήθευση θεωρείται συνήθως ένα βασικό μέτρο. Για πρόσβαση σε ένα κτίριο, ένα κιβώτιο κλειδιών ή ένα σύστημα στις εγκαταστάσεις ενός πελάτη, αυτό είναι πιο διαφοροποιημένο, και εδώ βρίσκεται για πολλές εταιρείες εγκατάστασης το πρακτικό ερώτημα.
Πού αναμένεται συνήθως η πολυπλοκή επαλήθευση
Ο πυρήνας του συλλογισμού είναι απλός: όσο πιο μακριά από το δικό σας γραφείο είναι ένα σύστημα, και όσο πιο ευαίσθητα είναι τα δεδομένα που κρύβονται πίσω από αυτό, τόσο βαρύτερη η προστασία που πρέπει να ταιριάζει. Ένας τεχνικός που συνδέεται στο εταιρικό δίκτυο από το τηλέφωνό του, ένας υπάλληλος γραφείου που μπορεί να πρόσβαση την τακτική από το σπίτι, ή ένας διευθυντής που μπορεί να πρόσβαση τον σχεδιασμό από απόσταση: αυτά είναι όλα σημεία όπου ένας κωδικό πρόσβασης είναι ευάλωτος σε phishing ή επαναχρησιμοποίηση διαρρεόντων διαπιστευτηρίων. Η πολυπλοκή επαλήθευση κάνει έτσι ώστε ένας κλεμμένος κωδικό πρόσβασης να μην είναι αρκετός για να περάσει κανείς μέσα.
Το ίδιο ισχύει για λογαριασμούς με αυξημένα δικαιώματα: ο διαχειριστής του δικτύου, ο ιδιοκτήτης του περιβάλλοντος cloud, ή όποιος μπορεί να εγκρίνει τιμολόγια. Ακριβώς αυτοί οι λογαριασμοί είναι για έναν επιτιθέμενο οι πιο πολύτιμοι, και ακριβώς εκεί συχνά ρωτιέται πρώτα σε ένα ερωτηματολόγιο ασφάλειας ενός αναθέτοντα έργου. Όποιος θέλει να μάθει περισσότερα για το τι ακριβώς περιλαμβάνεται εκεί, θα το βρει στη σελίδα για τα θέματα που έχουν αναπτυχθεί ανά κλάδο.
Πού γίνεται πιο διαφοροποιημένο: συστήματα στις εγκαταστάσεις των πελατών
Οι εταιρείες εγκατάστασης συχνά εργάζονται στις εγκαταστάσεις: στο σπίτι ενός πελάτη, σε ένα εταιρικό κτίριο, ή σε ένα εργοτάξιο. Εκεί δημιουργούνται καταστάσεις που δεν είναι άμεσα συγκρίσιμες με τη δουλειά γραφείου. Ένας τεχνικός που πρέπει να συνδεθεί σε ένα σύστημα διαχείρισης κτιρίων του πελάτη, χρησιμοποιεί συχνά διαπιστευτήρια που ο ίδιος ο πελάτης διαχειρίζεται και όχι διαπιστευτήρια της δικής του εταιρείας. Το ερώτημα ποιος διαχειρίζεται εκεί την πολυπλοκή επαλήθευση, και ποιος επιβλέπει αυτό, βρίσκεται κατά κύριο λόγο στον ιδιοκτήτη του συστήματος, όχι στην εταιρεία εγκατάστασης που έχει προσωρινή πρόσβαση σε αυτό.
Επίσης, ο κοινόχρηστος εξοπλισμός σε ένα εταιρικό βουλόμι, όπως ένα tablet που χρησιμοποιείται από πολλούς τεχνικούς, είναι ένα πρακτικό παράδειγμα στο οποίο μια αυστηρή απαίτηση MFA μπορεί να έρθει σε σύγκρουση με την εργασιμότητα στον δρόμο. Αυτό δεν σημαίνει ότι η ασφάλεια εξαφανίζεται εκεί, αλλά ότι η εκπλήρωση μπορεί να είναι διαφορετική: για παράδειγμα, μια σύντομη διάρκεια συνόδου, ένας ξεχωριστός λογαριασμός ανά τεχνικό αντί για έναν κοινόχρηστο λογαριασμό, ή πρόσβαση που λήγει αυτόματα μετά τη δουλειά. Οι εποπτικές αρχές και οι αναθέτοντες έργου εξετάζουν κυρίως αν έχει γίνει μια συνειδητή αξιολόγηση, όχι αν ακριβώς η ίδια τεχνική λύση έχει εφαρμοστεί παντού.
Η διάκριση μεταξύ φυσικών κλειδιών και πρόσβασης σε κτίρια αφενός, και ψηφιακής πρόσβασης σε συστήματα αφετέρου, είναι επίσης κάτι για το οποίο οι εταιρείες εγκατάστασης συχνά λαμβάνουν ερωτήσεις. Όποιος θέλει να διερευνήσει ευρύτερα το θέμα, θα βρει μια ανάπτυξη του ποιος μπορεί να έχει πρόσβαση πού στη σελίδα για τον έλεγχο πρόσβασης στον κλάδο.
Τι σημαίνει αυτό για τη συζήτηση με έναν εργοδότη
Ένα ερωτηματολόγιο ασφάλειας συχνά θέτει ένα απλό ναι/όχι ερώτημα σχετικά με τον MFA, ενώ η πράξη είναι περισσότερο διαφοροποιημένη. Βοηθά να μπορείτε να δείξετε ανά σύστημα πού βρίσκεται η ενισχυμένη επαλήθευση ταυτότητας, γιατί επιλέχθηκε εκεί και πώς χειρίζονται οι εξαιρέσεις. Αυτό ακριβώς είναι το σημείο όπου ένας ζωντανός φάκελος προσθέτει αξία: όχι μόνο ένα σημάδι δίπλα σε ένα μέτρο, αλλά ένα στοιχείο απόδειξης και ένας ιδιοκτήτης ανά σύστημα, έτσι ώστε η απάντηση στο ερωτηματολόγιο να είναι σωστή και τεκμηριωμένη.
Εάν η εταιρεία σας υπόκειται στην υποχρέωση φροντίδας, εάν επηρεάζεται μέσω της αλυσίδας εφοδιασμού, ή κανένα από τα δύο, μπορεί να φανεί με μερικές ερωτήσεις μέσω του δωρεάν ελέγχου που χαρτογραφεί την κατάστασή σας. Για όσους θέλουν να γνωρίζουν με ακρίβεια πώς το secria.eu φτάνει στις πληροφορίες του και ποιες πηγές χρησιμοποιούνται, αυτό εξηγείται στο τη σελίδα σχετικά με τον τρόπο λειτουργίας της πλατφόρμας. Και για συγκεκριμένες ερωτήσεις σχετικά με το τι εμπίπτει ή όχι στην υποχρέωση φροντίδας, υπάρχει ένα σύνολο με απαντήσεις σε ερωτήσεις που τίθενται συχνά από εγκαταστάτες.
Η ενισχυμένη επαλήθευση ταυτότητας δεν είναι σκοπός καθαυτός, αλλά ένα από τα δομικά στοιχεία σε ένα φάκελο που δείχνει ότι η πρόσβαση στα συστήματα είναι προσεκτικά ρυθμισμένη. Για την κατάσταση της δικής σας εταιρείας, με τα δικά της συστήματα και τη δική της τρόπο εργασίας στη θέση, εξακολουθεί να είναι απαραίτητη μια δική σας αξιολόγηση· η βάση γνώσης και η γρήγορη σάρωση βοηθούν στην αξιολόγηση με τις σωστές πληροφορίες.