Mitmikautentimine — sageli lühendatult MFA, täiendav kontroll parooliväljapoole, näiteks telefonis saadav kood — ei ole NIS2-direktiivis ega Küberkaitseseaduses sõnaselgelt kohustuslikud. Artikkel 21 hooldusmeetmete kohustuses sätestatakse aga, et organisatsioonid võtavad kasutusele asjakohaseid tehislikke ja organisatsioonilisi meetmeid, sealhulgas juurdepääsukontrolli meetmeid. Metalliprotoodi- ja valmistamistööstuses enamiku kontorisüsteemide, pilveteenuste ja välise juurdepääsu puhul tähendab see praktikas peaaegu alati: jah, mitmikautentimine kuulub sellele juurde. Tootmismajade masinate ja juhtimissüsteemide puhul on see keerulisem, ja selle artikli eesmärk on seda detailsemalt käsitleda.
Erinevus seisneb selles, kuidas süsteem tehniliselt teha suudab ja milline on risk, kui parool üksi ei piisa. Kaugtöö sisselogimisportaal või pilvehaldus saab peaaegu alati täiendava verifikatsioonietapi lisada. Kahekümne aasta vanune tootmismajade PLC-konsool sageli ei saa, ja seejärel nihkub küsimus "MFA või mitte" küsimusele "milline muu meede seda kompenseerib".
Mida hooldusmeetmete kohustus teilt nõuab
Hooldusmeetmete kohustus ei loetlege fikseeritud toodete ega kaubamärkide nimekirja. Järelevalveasutused ja direktiiv ise räägivad meetmete sobivusest riskide, tehnika seisundi ja rakendamiskulude järgi. Juurdepääsukontroll on selles üheks korduvatest teemadest: kellel on õigus millegi juurde, kuidas seda kontrollitakse ja mis juhtub, kui parool varastatakse või arvatakse. Mitmikautentimine on hetkel üks levinumaid viise selle küsimuse lahendamiseks ja ilmub seega peaaegu igas selle meetme väljatöötamises, millega tegeleme — samuti teistes liikmesriikide järelevalveasutustes. Kuidas see täpselt teie riigis rakendati ja millist täpsustust järelevalveasutaja sellega seob, saate üle vaadata viia läbi väljatöötamise teemakaupa.
Kus mitmikautentimine tavaliselt eeldatakse
Metalliprotoodi- või valmistamisettevõttes on kohad, kus see kõige suuremini silma paistab, tavaliselt samad: ligipääs pilvekeskkonnale ja haldusele, töötajate postkastidele, kaugpääs VPN kaudu kaugtöötajatele ja eriti kontodele administraatori õigustega — IT-administraator, ERP-paketi süsteemiadministraator, varukoopiate juurde pääsev isik. Parasjagu nendel kontodel on vargad huvitatud, sest üks varastatud parool annab kohe juurdepääsu märksa rohkemale kui ühe postkastile. Hanked, kes saadavad turvaküsimustike, küsivad sellest peaaegu alati selgesõnaliselt, ja tühi vastus sellele küsimusele on tavaliselt raskem selgitada kui ausalt "veel mitte kõikjal, sel ajaplaanil".
Kus tootmissüsteemid teistsugust lähenemist nõuavad
Töökoda on teine asi. CNC-masin, SCADA-süsteem või PLC, mis kestavad kümneid aastaid, on sageli välja arendatud ilma login-ekraanita, mis toetaks teist verifikatsioonisammu. Siin ei asenda hooldusmeetmete kohustus võimutul peal kohustust, vaid nihutab tähelepanu teiste, täiendavate meetmete poole: süsteem eraldab eraldi võrgu segmendis, piirdab füüsilist juurdepääsu juhitavasse ruumi ja dokumenteerib hästi, kellel oli millal millise masina juures ligipääs. Segmenteerimine — tootmise võrgustiku eraldamine kontorivõrgustikust — on sellistel juhtudel sageli meede, mis täidab lünga, mida mitmikautentimine teistes kohtades suleb. Kui masin on ühendatud ettevõtte võrgustikuga, näiteks kaugmonitooringu või tarkvara uuenduste jaoks, on see ühendus ise jällegi risk, mis vajab tähelepanu, isegi kui see masina tehnikat ei muuda.
Kuidas te praktikas seda vahet teete
Kasulik esimene samm on kõigi süsteemide ülevaade, mis annavad juurdepääsu äriteabele või tootmisprotsessidele, kusjuures iga süsteemi puhul käsitletakse küsimust: kas see tehniliselt mitut autentimismeetodi võimaldab, ja kui mitte, mida me selle asemel teeme. See ülevaade on täpselt koht, kus elutsükli registri väärtus tõestub, kuna üks tänane vastus võib homme tarkvara värskenduse tõttu muutuda. Olenemata sellest, kas teie organisatsioon ise kuulub kohustuse alla, või saate te selle küsimuse seetõttu, et tellija seda teilt nõuab, saate te viie küsimuses näha oma seisuKui teil on kahtlusi mõistete nagu segmenteerimine või haldustugi osas, leiate sealt ka vastused korduma kippuvatele küsimustele valmis.
Mitme faktori autentimine ei ole seega markeering, mis kõikjal sama välja näeb, vaid meede, mis iga süsteemi puhul omab erinevat rakendust. Oma olukorra puhul ja küsimuse puhul, kas konkreetne erand teie masinate puhul on kaitstavat teie tellija või järelevalveasutuse ees, jääb õigusabi või järelevalveasutusega nõupidamine sobivaks teeks — secria.eu kirjeldab, mis kehtib, ja aitab seda fikseerida, kuid ei ota seisukohta teie individuaalse olukorra suhtes.
Kas soovite seda ülevaadet oma ärile näidata, sealhulgas süsteemid, mis teie juures sobivad ja sobivad? Tehke tasuta kiireksam või lugege enne teemasid läbi.