Mitmefaktoriline autentimine, tuntud ka kui kaheastmeline autentimine või MFA, on sisselogimine millegi abil, mida teate (parool) ja millegi abil, mida teil on (kood teie telefonis, võti või rakendus). Installatsioonifirmade jaoks, kes NIS2-riskijuhtimiskohustuse alla kuuluvad või kes tarnijana saavad julgeolekuküsimustikku, on see üks enimesitatud küsimusi: kas see on kohustuslik kõikjal või ainult teatud kohtades?
Lühike vastus: riskijuhtimiskohustus ei määra tehnoloogiat ette, vaid nõuab meetmeid, mis vastavad riskile. Süsteemidele, mis on kaugelt juurdepääsetavad, nagu e-post, teie ERP-süsteem, VPN-ühendus või teie plaaneerimis- ja arveldussoftware halduspaneel, peetakse mitmefaktorilist autentimist tavaliselt põhimeetmeks. Juurdepääs hoonetele, võtmekastidele või süsteemidele kliendiülesandel on see keerulisem, ja paljude installatsioonifirmade jaoks on see praktiline küsimus.
Kus mitmefaktorilist autentimist tavaliselt oodata
Arutluse põhiidee on lihtne: mida kaugemale jääb süsteem teie enda kontorist ja mida tundlikumad on seisundis olevad andmed, seda tugevam peab olema kaitse, mis sellele vastab. Montöör, kes logib sisse oma telefoni kaudu ärivõrku, kontoritöötaja, kes kodust administratsiooni juurde pääseb, või juht, kes saab kaugelt planeeringule: need on kõik kohad, kus ainuüksi parool on haavatav phishingu või lekkenutatavate sisselogimisandmete taaskasutuse suhtes. Mitmefaktoriline autentimine muudab varastatud parooli üksi piisavaks sisselogimine teha võimatuks.
See üldsus kehtib ka kõrgendatud õigustega kontode puhul: võrguadministraator, pilveümbrise omanik või keegi, kes võib arveid heaks kiita. Just need kontod on rünnakule kõige väärtuslikumad ja just neid küsitakse sageli esimesena tellija turvakysimustikus. Kes tahab teada saada, mis täpselt sinna tagasi jõuab, leiab selle teabe lehelt, mis käsitleb valdkonniti väljatöötatud teemasid.
Kus on see näantsem: kliendirajal asuvad süsteemid
Paigaldusfirmad töötavad sageli kohapeal: kliendi kodus, äriruumis või ehitusplatsil. Seal tekivad olukorrad, mida ei saa üks-ühele kantorissa tööga võrrelda. Montöör, kes peab sisse logima kliendi hoone juhtimissüsteemi, kasutab sageli sisselogimisteave, mida hallata klient ise, mitte tema enda firma. Küsimus selle kohta, kes seal mitmeetapilise kinnituse korraldab ja kes seda jälgib, jääb esmalt süsteemi omanikule, mitte paigaldusfirmale, kellel on ajutine juurdepääs.
Jagatav seadistus äripakett, näiteks tahvelarvuti, mida kasutab mitu montööri, on praktiline juhtum, kus range MFA-nõue võib tekitada sirgete liiklustingimustes probleeme. See ei tähenda, et turvalisus sinna kaduma ei läheks, kuid täitmisviis võib olla erinev: näiteks lühike seansside kestvus, eraldi konto iga montööri jaoks ühiselt kasutatud konto asemel või ligipääs, mis automatselt lõpeb pärast tööd. Järelevalveasutused ja tellijad otsivad eelkõige seda, kas teadlik valik on tehtud, mitte seda, kas täpselt sama tehniline lahendus on kõikjal rakendatud.
Erinevus füüsiliste võtmete ja hoone ligipääsu ning teiselt poolt digitaalse ligipääsu süsteemidele on ka asi, millest paigaldusfirmad sageli küsimusi saavad. Kes seda teemat laiemalt uurida tahab, leiab ligipääsu reguleerimise väljatöötamise valdkonnas lehelt.
Mida see tähendab suhtlemisel tellijaga
Turvalisuse küsimustik esitab sageli lihtsa jah/ei-küsimuse mitmetasandilise autentimise kohta, kuid praktikas on asi nüansirohkem. Aitab, kui saab süsteemi kaupa näidata, kus mitmetasandiline kontroll asub, miks just selle kohta otsustati, ja kuidas eranditega toimida. Just sellise eesmärgiga täiendab dokumentatsiooni käsitöö: mitte ainult märge meetme juures, vaid tõend ja vastutav isik süsteemi kohta, et küsimustikule antav vastus oleks õige ja põhjendatud.
Kas teie ettevõte kuulub hoolsusvastutuse alla, kas see on tarneketti mõjutatud, või kumbagi neist, on näha mõne küsimuse abil tasuta kontrolli kaudu, mis teie olukorra üheselt teeb selgeks. Neile, kes tahavad täpselt teada, kuidas secria.eu oma teavet saab ja milliseid allikaid kasutatakse, on see lahti seletatud platvormi toimimise kohta käival lehel. Ja konkreetsete küsimuste jaoks selle kohta, mis kuulub hoolsusvastutuse alla ja mis mitte, on olemas ülevaade koos vastustega küsimustele, mida paigaldusettevõtted sageli esitavad.
Mitmetasandiline autentimine pole eesmärk iseenesest, vaid üks ehituskivisi dokumentatsioonis, mis näitab, et juurdepääs süsteemidele on läbi mõeldud. Teie enda ettevõtte olukorras, tema omade süsteemidega ja tööviisidega kohapeal, on vajalik isiklik hinnang; teadusteave ja kiire ülevaade aitavad seda hinnangut õige teabega teha.