Monivaiheinen varmennus, jota kutsutaan myös kaksivaiheiseksi verifioinniksi tai MFA:ksi, on kirjautuminen johonkin, jonka tiedätte (salasana) JA johonkin, joka teillä on (koodi puhelimessanne, avain tai sovellus). Asennusyrityksille, jotka kuuluvat NIS2-huolenpitovelvollisuuden piiriin tai jotka saavat toimittajana turvallisuuskyselyn, tämä on yksi useimmin kysytyistä kysymyksistä: onko se pakollista kaikkialla vai vain tietyissä paikoissa?
Lyhyt vastaus: huolenpitovelvollisuus ei määrää tekniikkaa, vaan vaatii toimenpiteitä, jotka sopivat riskiin. Järjestelmille, joita voidaan käyttää etäältä, kuten sähköpostille, ERP-järjestelmällenne, VPN-yhteydelle tai hallintapaneelille suunnittelu- ja laskutusohjelmistossanne, monivaiheinen varmennus katsotaan yleensä perustoimenpiteeksi. Pääsy rakennukseen, avainkaappiin tai asiakkaan paikalla sijaitsevaan järjestelmään on nuanssimpaa, ja siinä on monille asennusyrityksille käytännöllinen kysymys.
Missä monivaiheinen varmennus yleensä odotetaan
Perustelu on yksinkertainen: mitä kauempana järjestelmä on omalta kantorinne sijainnista ja mitä arkaluontoisempia tiedot sen takana ovat, sitä vahvempi suojaus sen tulee vastata. Asentaja, joka kirjautuu puhelimestaan yritysverkkoon, toimistotoimija, joka voi käyttää hallintoa kotoa käsin, tai johtaja, joka voi käyttää suunnittelua etäältä: nämä ovat kaikki kohtia, joissa vain salasana on alttiina phishing-hyökkäyksille tai vuotaneiden kirjautumistietojen uudelleenkäytölle. Monivaiheinen varmennus tekee siitä, että varastetulla salasanalla ei ole riittävä pääsy sisälle.
Sama koskee korkeampia oikeuksia olevia tilejä: verkon ylläpitäjä, pilviympäristön omistaja tai henkilö, joka voi hyväksyä laskuja. Juuri nämä tilit ovat hyökkääjälle arvokkaimpia, ja juuri näistä pyydetään usein ensimmäisenä toimeksianto-antajan turvallisuuskyselyssä. Jotka haluavat tietää lisää siitä, mitä tarkalleen siinä esiintyy, löytävät sen sivulta, joka käsittelee aiheita, jotka on kehitetty sektorikohtaisesti.
Missä se on nuanssimpaa: asiakkaan paikalla sijaitsevat järjestelmät
Asennusyritykset työskentelevät usein paikan päällä: asiakkaan kotona, yritystiloissa tai rakennustyömaalla. Siellä syntyy tilanteita, joita ei voi suoraan verrata toimistotyöhön. Asentaja, joka joutuu kirjautumaan asiakkaan rakennuksenhallinnan järjestelmään, käyttää usein kirjautumistietoja, joita asiakas itse hallinnoi, eikä niitä, jotka ovat yrityksen omia. Kysymys siitä, kuka säätää monivaiheisen varmennus ja kuka valvoo sitä, on ensisijaisesti järjestelmän omistajan, ei asennusyrityksen, jolla on väliaikainen pääsy siihen, tehtävä.
Myös jaettu laite liikennebusseissa, kuten tabletti, jota useat asentajat käyttävät, on käytännön tilanne, jossa tiukka MFA-vaatimus voi joutua ristiriitaan työn toteutettavuuden kanssa kadulla. Se ei tarkoita sitä, että turvallisuus siellä katoaa, vaan että sen toteutus voi olla erilainen: esimerkiksi lyhyt istuntoaika, erillinen tili jokaista asentajaa kohti jaetun tilin sijaan, tai pääsy, joka vanhenee automaattisesti työn jälkeen. Valvontaviranomaiset ja toimeksiantajat katsovat pääasiassa sitä, onko tehty tietoinen harkinta, eivät sitä, onko täsmälleen sama tekninen ratkaisu toteutettu kaikkialla.
Ero fyysisten avainten ja rakennuksensisäisen pääsyn sekä digitaalisen pääsyn järjestelmiin on myös aihe, josta asennusyrityksiä usein kysytään. Jotka haluavat tutkia aihetta laajemmin, löytävät sen toteutuksen sivulta, joka käsittelee pääsynhallintaa alalla.
Mitä tämä merkitsee keskustelulle tilaajaorganisaation kanssa
Turvallisuuskysymyslista asettaa usein yksinkertaisen kyllä/ei-kysymyksen monivaiheisen todentamisen osalta, vaikka todellisuus on vivahteikkaampaa. Se auttaa, jos voit näyttää järjestelmä kerrallaan, missä monivaiheinen todentaminen on käytössä, miksi se siellä on valittu, ja miten poikkeamia käsitellään. Tämä on juuri se paikka, jossa elävä dossier tuo lisäarvoa: ei pelkästään rasti mittarin kohdalla, vaan todiste ja omistaja järjestelmää kohti, jotta kysymyslistaan antamasi vastaus on oikea ja perusteltu.
Riippumatta siitä, onko yrityksellänne turvallisuusvelvoite, ovatko te toimitusketjun kautta vaikutuksen alaisia, vai eikö kumpikaan, voidaan nähdä muutamalla kysymyksellä ilmaisen tarkistuksen kautta, joka kartoittaa tilanteeninneNiille, jotka haluavat tarkasti tietää, miten secria.eu hankkii tietonsa ja mitä lähteitä käytetään, on selitetty alustasta kertovalla sivullaJa konkreettisiin kysymyksiin siitä, mikä kuuluu turvallisuusvelvoitteen piiriin ja mikä ei, on olemassa yleiskatsaus vastauksia asentajien usein esittämiin kysymyksiin.
Monivaiheinen todentaminen ei ole itsetarkoitus, vaan yksi palanen dossierissa, joka osoittaa, että pääsy järjestelmiin on harkittu järkevällä tavalla. Omassa yrityksessänne, omiin järjestelmiinne ja paikalla työskentelemisen tavallenne, tarvitaan silti oma harkinta; tietovaranto ja nopea katsaus auttavat harkinnassa oikealla tiedolla.