Onko monivaiheinen todentaminen (MFA) velvoittavaa ICT-palveluntarjoajalle? Lyhyttä vastausta ei ole, ja juuri siksi tämä kysymys nousee toistuvasti esiin valvontaviranomaisilla, tilaajilla ja tietoturvakyselylomakkeissa. NIS2-direktiivi mainitsee monivaiheisen todentamisen tai jatkuvan todentamisen eksplisiittisesti esimerkkinä huolenpitovelvoitteeseen kuuluvasta toimenpiteestä, mutta ei määrää, missä järjestelmässä, keille ja milloin tämä on tehtävä. Organisaatio tekee tämän määrityksen itse, ja se tekee aiheesta vaikeamman kuin yksinkertaisen kyllä tai ei.
Mikä on selkeää: heti kun tili mahdollistaa etäyhteyden asiakkaan järjestelmiin, tietoihin tai infrastruktuuriin, valvontaviranomaiset ja tilaajat odottavat, että enemmän kuin salasana on käytössä. Se koskee omaa henkilökuntaa, alihankkijoita ja väliaikaista pääsyä, joka poistetaan projektin jälkeen. Missä tämä odotus on vähemmän vahva, on sisäinen, matalan riskin pääsy, joka ei ole ulkopuolelta saavutettavissa. Siinä on raja, jonka tämä artikkeli käsittelee tarkemmin.
Miksi MFA esiintyy lähes jokaisessa kyselylomakkeessa
ICT-palveluntarjoajana olet usein se osapuoli, joka kirjautuu etäyhteydellä asiakkaan puolesta, suorittaa päivityksiä tai ratkaisee häiriöitä. Juuri tämä pääsyväylä on hyökkääjälle houkutteleva: yksi varastettu salasana voi antaa pääsyn useisiin asiakasympäristöihin kerralla. Tilaajat, jotka ovat itse huolenpitovelvoitteen alaisia, on arvioitava alihankkijoidensa turvallisuutta, ja monivaiheinen todentaminen etäpääsylle on yksi ensimmäisistä kysyttävistä asioista. Joilla ei ole vastausta tähän, huomaavat, että kyselylomakkeet venytetään pidemmiksi tai sopimus jää odottamaan.
muutamalla kysymyksellä nähdään, tavoittaako organisaatiota toimitusketjun kautta antaa ensimmäisen viitteen siitä, kuinka raskaasti tämänkaltaiset vaatimukset voivat vaikuttaa sinuun. Pienelle ICT-palveluntarjoajalle, joka työskentelee useiden huolenpitovelvoitteen alaisten asiakkaiden kanssa, on suuri todennäköisyys, että sama kysymys nousee esiin toistuvasti, vain hieman eri sanamuodoin.
Missä monivaiheinen todentaminen odotetaan rakenteellisesti
Kolme pääsyväylää nousevat käytännössä usein esiin paikkana, jossa monivaiheinen todentaminen tulisi olla. Ensinnäkin etähallinta: jokainen yhteys, jonka avulla ylläpitäjä voi käyttää järjestelmää verkon ulkopuolelta, mukaan lukien VPN-pääsy ja etätyöpöytäyhteydet. Toiseksi pääsy asiakkaiden järjestelmiin: tilit, jotka on luotu nimenomaan kirjautumista varten tilaajan luo, varsinkin kun tämä pääsy antaa hallintaoikeudet. Kolmanneksi alihankkijat ja ulkopuoliset osapuolet, jotka tekevät työtä puolestasi asiakkaan luona; heidän pääsynsä kuuluu samaan odotukseen, vaikka alihankkija ei itse esiinny suoraan kyselylomakkeessa.
Näissä kolmessa kategoriassa malli on aina sama: mitä kauempana pääsy omasta, fyysisesti suojatuista verkoista on, sitä voimakkaampi odotus on, että toinen todentamisvaihe on olemassa.
Missä keskustelu on vielä avoin
Omassa toimistoverkossa, tilissä, joka toimii vain paikallisesti ja ilman ulkoista yhteyttä, MFA:n tarve on vähemmän yksiselitteinen. Se ei tarkoita, että se olisi epätärkeää, vaan että punninta käsittelee enemmän riskiä ja suhteellisuutta kuin kovaa normia. Sama hienovaraisuus koskee jaettuja toiminnallisia tilejä, jotka eivät ole sidottu yksittäiseen henkilöön: ne vaativat erilaisen ratkaisun kuin toisen vaiheen henkilökohtaisesti, esimerkiksi lakkautetaan tili itsensä henkilökohtaisten kirjautumistietojen hyväksi.
Tämä on kategoria, jonka kanssa organisaatiot kamppailevat useimmiten, kun tietoturvakyselylomake saapuu: ei selkeät tapaukset, vaan järjestelmät, jotka jäävät joksikin väliinpäin. lue selitys kussakin tilanteessa auttaa näkemään, mihin kategoriaan tietty järjestelmä todennäköisesti kuuluu, ilman että joudut ensin lukemaan koko direktiiviä.
Mitä tämä tarkoittaa omassa asiakirjassasi
Huolehtimisvelvollisena ei riitä pelkästään se, että monivaiheinen todentaminen on otettu käyttöön, vaan myös se, että se on osoitettavissa: kuka teki päätöksen, millä järjestelmillä se on käytössä, ja mikä on niiden järjestelmien tila, joissa sitä ei vielä ole. Tämä on juuri sellainen dokumentointi, jota elävä asiakirja vaatii kertakierroksen sijaan. Jos olet epävarma siitä, kuinka tiukasti tiettyä pääsyä tulee arvioida, valvontaviranomainen tai lakimies on asianmukainen osapuoli arvioimaan sitä tilanteessasi; tämä selitys on tarkoitettu kysymyksen selventämiseen, ei sen korvaamisen.
Oletko kiinnostunut siitä, miten tämä aihe päätyi omaan asiakirjaasi? lue, mistä secria.eu:n tiedot ovat peräisin näyttää, kuinka pidämme lähteitä ajan tasalla, ja ilmainen NIS2-tarkistus antaa muutamassa minuutissa alustavaa kuvaa siitä, missä seisot.