Kas mitmikautentimine (MFA) on ICT-teenuse osutajale kohustuslik? Lühiküsimustele vastust ei ole, ja just sellepärast tekib see küsimus pidevalt järelevalveasutuste, tellijate ja turvalisuse kontrollnimekirjade juures. NIS2-direktiiv nimetab mitmikautentimist või jätkuvat autentimist otsesõltina hoolduskohustusega kaasnevast meetmest, kuid ei näita ette, millisele süsteemile, kellele ja mis ajal see kehtida peab. See täitmine on organisatsiooni endi kohustus, ja see muudab teema lihtsa jah või ei vastusest keerulisemaks.
Üks on selge: niipea kui konto annab kaugligipääsu kliendi süsteemidele, andmetele või infrastruktuurile, ootavad järelevalveasutused ja tellijad, et seal oleks rohkem kui ainult parool. See kehtib oma personali, alamtöövõtjate ja ajutise ligipääsu kohta, mis projekti lõpus tühistatakse. Seal, kus see ootus on nõrgem, on sisemine madala riskiga ligipääs, mis ei ole väljastpoolt juurdepääsetav. Selles artiklis käsitletakse edasi seda piiri.
Miks mitmikautentimine peaaegu igas kontrollnimekirjas esineb
ICT-teenuse osutajana logiute sageli kliendi jaoks kaugelt sisse, teete värskendusi või lahendab probleeme. Täpselt see ligipääsu tee on rünnakule atraktiivsed: üks varastatud parool võib anda ligipääsu mitmele kliendi keskkonnale korraga. Tellijad, kes ise hoolduskohustuse all on, peavad hindama oma tarnijaid, ja mitmikautentimine kaugligipääsul on esimene asi, mida küsitakse. Kes sellele vastust ei anna, märkab, et kontrollnimekiri kestab kauem või leping jääb ootele.
vaadake mõne küsimuse põhjal, kas teie organisatsiooni mõjutab tarneahel annab esimese märke, kui raskelt võivad seda tüüpi nõuded teie organisatsioonile langeda. MKB-teenuse osutajale, kes töötab mitme kohustusliku kliendi jaoks, on tõenäoline, et sama küsimus tekib pidevalt, ainult veidi erinevalt sõnastatud.
Kus mitmikautentimist süstemaatiliselt oodatakse
Kolm ligipääsuteed esinevad praktikas kõige sagemini kohtades, kuhu mitmikautentimine kuulub. Esiteks kaugühenduse haldus: iga ühendus, millega haldur võib kaugnõudest süsteemile pääseda, sealhulgas VPN-ligipääs ja kaugteenuse ühendused. Teiseks ligipääs kliendi süsteemidele: kontod, mis on spetsiaalselt loodud kliendi juurde sisselogimiseks, eriti kui see ligipääs annab administraatori õigused. Kolmandaks alamtöövõtjad ja välised osapooled, kes teevad teie nimel kliendi juures tööd; nende ligipääs langeb sama nõude alla, kuigi alamtöövõtja ise pole otse kontrollnimekirjas.
Nende kolme kategooria puhul on muster alati sama: mida kaugemal on ligipääs enda füüsiliselt kaitstud võrgust, seda tugevam on ootus, et teine verifikatsioonietapp oleks olemas.
Kus arutelu jätkub
Oma kontorivõrgu sees, kontole, mis toimib ainult lokaalselt ja ilma väliste ühenduseta, on MFA vajadus vähem selge. See ei tähenda, et see pole oluline, vaid pigem seda, et hindamine käsitleb siin pigem riski ja proportsionaalsust kui kõva normi. Sama nüanss kehtib jagatud funktsionaalsetele kontodele, mis pole seotud üksikisikuga: need nõuavad muud lahendust kui teise sammu inimese kohta, näiteks konto enda kaotamine isikliku sisselogiandmete kasuks.
See on kategooria, millega organisatsioonid kõige tihedamini lahklevad, kui turvalisuse kontrollnimekiri saabub: mitte selged juhtumid, vaid süsteemid, mis jäävad kusagile vahele. lugege lähemalt iga olukorra selgitust aitab näha, millisesse kategooriasse konkreetne süsteem tõenäoliselt kuulub, ilma et peaksite selleks kõigepealt kogu direktiivi lugema.
Mida see tähendab teie enda dokumentatsiooni jaoks
Küberriskide juhtimiskohustuse puhul ei arvestata mitte ainult seda, kas mitmeteguriline autentimine on seadistatud, vaid ka seda, et see on tõendatav: kes tegi otsuse, millistel süsteemidel see sisse lülitatud on, ja milline on nende süsteemide olek, kus see veel puudub. See on täpselt selline dokumentatsioon, mida nõuab pidev fail, mitte ühekordne tegevus. Kui teil on kahtlused selle kohta, kui rangelt tuleks konkreetset juurdepääsu hinnata, on järelevalveasutus või jurist õige osapool, kes seda teie situatsiooni jaoks hinnaks; selle seletuse eesmärk on küsimust täpsustada, mitte seda asendada.
Kas teid huvitab, kuidas see teema teie enda dokumentatsioonisse jõuab? lugege, kust tulevad teabeallikad secria.eu-s näitab, kuidas hoiame allikate üle arvet, ja tasuta NIS2-kontroll annab paari minutiga esmamulje sellest, kus te asute.