Η πολυ-παραγοντική επαλήθευση — συχνά συντομευόμενη ως MFA, ένας επιπλέον έλεγχος παράλληλα με τον κωδικό πρόσβασης, για παράδειγμα ένας κωδικός στο τηλέφωνο — δεν αναφέρεται ρητά ως υποχρέωση στην οδηγία NIS2 ή στο Νόμο περί Κυβερνοασφάλειας. Αυτό που υπάρχει, στη υποχρέωση φροντίδας του άρθρου 21, είναι ότι οι οργανισμοί λαμβάνουν κατάλληλα τεχνικά και οργανωτικά μέτρα, μεταξύ άλλων για την προστασία πρόσβασης. Για τα περισσότερα γραφειακά συστήματα, εφαρμογές cloud και εξωτερική πρόσβαση στη μεταλλευτική και τη βιομηχανία κατασκευής, αυτό στην πράξη σχεδόν πάντα σημαίνει: ναι, η πολυ-παραγοντική επαλήθευση πρέπει να συμπεριλαμβάνεται. Για μηχανές και συστήματα ελέγχου στο εργοστάσιο, αυτό είναι πιο διαφοροποιημένο, και αυτό το άρθρο θα το εξετάσει περαιτέρω.
Η διαφορά έγκειται στο τι μπορεί τεχνικά να κάνει ένα σύστημα και ποιος είναι ο κίνδυνος εάν ένας μόνο κωδικός πρόσβασης δεν αποδειχθεί επαρκής. Ένα πύλη σύνδεσης για εργασία από το σπίτι ή μια διαχείριση cloud μπορεί σχεδόν πάντα να προσθέσει ένα πρόσθετο βήμα επαλήθευσης. Μια κονσόλα PLC είκοσι ετών στο εργοστάσιο παραγωγής συχνά όχι, και τότε η ερώτηση μετατοπίζεται από "MFA ή όχι" σε "ποιο άλλο μέτρο αντισταθμίζει αυτό".
Τι αναμένει η υποχρέωση φροντίδας από εσάς
Η υποχρέωση φροντίδας δεν παραθέτει μια σταθερή λίστα προϊόντων ή μάρκων. Οι εποπτικές αρχές και η ίδια η οδηγία μιλούν για μέτρα που ταιριάζουν στους κινδύνους, στη σύγχρονη τεχνολογία και στο κόστος εφαρμογής. Η προστασία πρόσβασης είναι ένα από τα επαναλαμβανόμενα θέματα: ποιος μπορεί να έχει πρόσβαση κάπου, πώς ελέγχεται αυτό, και τι συμβαίνει εάν ένας κωδικός πρόσβασης κλαπεί ή μαντευθεί. Η πολυ-παραγοντική επαλήθευση είναι αυτή τη στιγμή ένας από τους πιο συνηθισμένους τρόπους για να απαντήσετε σε αυτήν την ερώτηση, και ως εκ τούτου εμφανίζεται σχεδόν σε κάθε εφαρμογή αυτού του μέτρου που συναντάμε — ακόμη και στις εποπτικές αρχές σε άλλα κράτη μέλη. Πώς αυτό έχει ακριβώς εφαρμοστεί στη χώρα σας, και ποια πρόσθετη εξήγηση δίνει η εποπτική αρχή σχετικά με αυτό, μπορείτε να ελέγξετε μέσω εξέταση της εφαρμογής ανά θέμα.
Όπου η πολυ-παραγοντική επαλήθευση συνήθως αναμένεται
Σε μια μεταλλευτική ή κατασκευαστική επιχείρηση, τα σημεία όπου αυτό είναι το πιο πιθανό είναι συχνά τα ίδια: πρόσβαση στο περιβάλλον cloud και τη διαχείριση, το εισερχόμενο ηλεκτρονικό ταχυδρομείο των υπαλλήλων, εξωτερική πρόσβαση μέσω VPN για όσους εργάζονται από απόσταση, και κυρίως τους λογαριασμούς με δικαιώματα διαχείρισης — ο διαχειριστής IT, ο διαχειριστής συστήματος του πακέτου ERP, όποιος μπορεί να έχει πρόσβαση στα αντίγραφα ασφαλείας. Ακριβώς αυτοί οι λογαριασμοί διαχείρισης είναι ελκυστικοί για έναν επιτιθέμενο, επειδή ένας κλαμμένος κωδικός πρόσβασης δίνει αμέσως πρόσβαση σε πολλά περισσότερα από ένα ταχυδρομείο. Οι δίδοντες συμβάσεων που στέλνουν ένα ερωτηματολόγιο ασφάλειας, σχεδόν πάντα ρωτούν ρητά γι' αυτό, και μια κενή απάντηση σε αυτήν την ερώτηση είναι συνήθως δυσκολότερο να εξηγηθεί παρά μια ειλικρινής "ακόμη όχι παντού, με αυτό το χρονοδιάγραμμα".
Όπου τα συστήματα παραγωγής απαιτούν διαφορετική προσέγγιση
Το εργοστάσιο παραγωγής είναι μια άλλη ιστορία. Μια μηχανή CNC, ένα σύστημα SCADA ή ένα PLC που διαρκούν δεκαετίες, συχνά δεν κατασκευάστηκαν με μια οθόνη σύνδεσης που να υποστηρίζει ένα δεύτερο βήμα επαλήθευσης. Εδώ η υποχρέωση φροντίδας δεν αντικαθιστά το αδύνατο με μια υποχρέωση, αλλά μετατοπίζει την προσοχή σε άλλα, συμπληρωματικά μέτρα: απομόνωση του συστήματος σε ένα ξεχωριστό τμήμα δικτύου, περιορισμός της φυσικής πρόσβασης στο δωμάτιο λειτουργίας, και καλή καταγραφή ποιος, πότε και σε ποια μηχανή μπορούσε να έχει πρόσβαση. Η τμηματοποίηση — χωρισμός του δικτύου παραγωγής από το δίκτυο γραφείου — είναι σε τέτοιες περιπτώσεις συχνά το μέτρο που γεμίζει το κενό που η πολυ-παραγοντική επαλήθευση καλύπτει αλλού. Όπου μια μηχανή είναι πράγματι συνδεδεμένη στο δίκτυο της επιχείρησης, για παράδειγμα για παρακολούθηση από απόσταση ή ενημερώσεις λογισμικού, αυτή η σύνδεση αυτή καθ' αυτή μετρά ως κίνδυνος που απαιτεί προσοχή, ακόμη και αν αυτό δεν αλλάζει τίποτα στη τεχνολογία της μηχανής.
Πώς κάνετε αυτήν τη διάκριση στην πράξη
Ένα χρήσιμο πρώτο βήμα είναι μια σύνοψη όλων των συστημάτων που παρέχουν πρόσβαση σε δεδομένα επιχείρησης ή διαδικασίες παραγωγής, με ανά σύστημα το ερώτημα: μπορεί αυτό τεχνικά να χρησιμοποιήσει πολλαπλή επαλήθευση, και αν όχι, τι κάνουμε εναλλακτικά. Αυτή η σύνοψη είναι ακριβώς όπου ένα ζωντανό αρχείο αποδεικνύει την αξία του, επειδή η μία απάντηση του σήμερα μπορεί να αλλάξει από μια ενημέρωση λογισμικού του αύριο. Είτε η οργάνωσή σας ίδια υπάγεται στη νομική υποχρέωση, είτε λαμβάνετε αυτό το ερώτημα επειδή ένας εργοδότης το ζητά από σας, μπορείτε σε πέντε ερωτήσεις δείτε που βρίσκεστεΑν αμφιβάλλετε ακόμη για έννοιες όπως τμηματοποίηση ή λογαριασμό διαχείρισης, τότε υπάρχει επίσης απαντήσεις σε συχνές ερωτήσεις έτοιμο.
Η πολυπλή επαλήθευση δεν είναι επομένως ένα απλό σημάδι που έχει την ίδια εμφάνιση παντού, αλλά ένα μέτρο που λαμβάνει διαφορετική μορφή ανάλογα με το σύστημα. Για την ίδια σας κατάσταση και για το ερώτημα του κατά πόσον μια συγκεκριμένη εξαίρεση για τους δικούς σας υπολογιστές είναι βιώσιμη έναντι ενός δικαιόχου ή ρυθμιστή, η νομική συμβουλή ή η διαβούλευση με τον ρυθμιστή παραμένει η κατάλληλη διαδρομή — το secria.eu περιγράφει τι ισχύει και βοηθά να τεκμηριωθεί, αλλά δεν κρίνει τη δική σας ατομική κατάσταση.
Θέλετε να δείτε αυτήν την επισκόπηση για τη δική σας εταιρεία, συμπεριλαμβανομένων των συστημάτων που ισχύουν και δεν ισχύουν στη δική σας περίπτωση; Κάντε τη δωρεάν γρήγορη σάρωση ή διαβάστε πρώτα τα θέματα.