Monivaiheinen tunnistautuminen — usein lyhennetään MFA:ksi, ylimääräinen tarkistus salasanan lisäksi, esimerkiksi koodi puhelimeen — ei ole nimenomaisesti pakollisuusvaatimus NIS2-direktiivissä tai Cyberturbalaissa. Mitä siellä on, huolenpitovelvollisuudessa artiklan 21 mukaisesti, on että organisaatiot ryhtyvät asianmukaisiin teknisiin ja organisatorisiin toimenpiteisiin muun muassa pääsynvalvontaa varten. Useimmissa konttoritietojärjestelmissä, pilvisovellusten tapauksessa ja etäkäytössä metalli- ja valmistusteollisuudessa se käytännössä lähes aina tarkoittaa: kyllä, monivaiheinen tunnistautuminen on osa sitä. Koneiden ja tuotantokerroksen ohjausjärjestelmien kohdalla asia on hienovaraisempi, ja tätä artikkelia käsitellään tarkemmin.
Ero on siinä, mitä järjestelmä teknisesti pystyy ja mikä on riski, jos pelkkä salasana osoittautuu riittämättömäksi. Etätyön kirjautumisportaalilla tai pilvihallinnoissa voidaan lähes aina lisätä ylimääräinen todentamisvaihe. Kaksikymmentä vuotta vanhaa PLC-konsolilla tuotantolattian ohjausjärjestelmässä ei usein voida, ja silloin kysymys muuttuu muodosta "MFA vai ei" muotoon "mitkä muut toimenpiteet kompensoivat tätä".
Mitä huolenpitovelvollisuus vaatii sinulta
Huolenpitovelvollisuus ei luettele kiinteitä tuotteiden tai merkkien listaa. Valvontaviranomaiset ja direktiivi itse puhuvat toimenpiteistä, jotka sopivat riskeihin, tekniikan tasoon ja toteutuksen kustannuksiin. Pääsynvalvonta on yksi toistuvista aiheista: kuka voi päästä johonkin, miten se tarkistetaan, ja mitä tapahtuu, jos salasana varastetaan tai arvataan. Monivaiheinen tunnistautuminen on tällä hetkellä yksi yleisimmistä tavoista vastata tähän kysymykseen, ja siksi se esiintyy lähes kaikissa tämän toimenpiteen toteutuksissa, joita kohtaamme — myös muiden jäsenvaltioiden valvontaviranomaisissa. Miten tämä on tarkalleen omaksuttu sinun maassasi ja mitä lisäselitystä valvontaviranomainen siitä antaa, voit tarkistaa kautta käydä läpi toteutusta aiheittain.
Missä monivaiheinen tunnistautuminen yleensä odotetaan
Metalliyrityksen tai valmistusyrityksen tapauksessa paikat, joissa tämä on useimmiten paikallaan, ovat usein samat: pääsy pilviympäristöön ja hallinnollisiin järjestelmiin, työntekijöiden sähköpostiin, etäkäyttöön VPN:n kautta niille, jotka työskentelevät etäältä, ja erityisesti ylläpitooikeuksilla varustettuihin tileille — IT-ylläpitäjä, ERP-paketin järjestelmänvalvoja, henkilö, joka pääsee varmuuskopioihin. Juuri nämä ylläpitäjätunnukset ovat houkuttelevia hyökkääjälle, koska yksi varastettu salasana avaa suoraan pääsyn paljon muuhun kuin yhteen postilaatikkoon. Työnantajat, jotka lähettävät tietoturva-kyselylomakkeen, kysyvät tästä lähes aina nimenomaisesti, ja tyhjä vastaus tähän kysymykseen on yleensä vaikeampi perustella kuin rehellinen "ei vielä kaikkialla, tämän aikataulun mukaisesti".
Missä tuotantojärjestelmät vaativat eri lähestymistapaa
Tuotantolattia on eri asia. CNC-kone, SCADA-järjestelmä tai PLC, joka kestää vuosikymmeniä, ei ole usein rakennettu sisäänkirjautumis-näytöllä, joka tukee toista todentamisvaihetta. Tässä huolenpitovelvollisuus ei korvaa mahdotonta velvoitteella, vaan siirtää huomion muihin, täydentäviin toimenpiteisiin: järjestelmän eristäminen erilliseen verkkosegmenttiin, fyysisen pääsyn rajoittaminen valvontahuoneeseen, ja huolellinen dokumentointi siitä, kuka voi päästä mihin koneeseen milloin. Segmentointi — tuotantoverkon eristäminen toimistoverkosta — on näissä tapauksissa usein toimenpide, joka täyttää aukon, jonka monivaiheinen tunnistautuminen täyttää muualla. Jos kone on yhdistetty yritysverkkoon esimerkiksi etämonitorointia varten tai ohjelmistopäivityksiä varten, se yhteys itsessään on riski, joka vaatii huomiota, vaikka se ei muuta koneen tekniikkaa.
Miten teet tämän eron käytännössä
Hyödyllinen ensimmäinen askel on kaikkien järjestelmien yleiskatsaus, jotka antavat pääsyn liiketoiminnan tietoihin tai tuotantoprosesseihin. Kullekin järjestelmälle on esitettävä kysymys: pystyykö se teknisesti toteuttamaan monivaiheisen todentamisen, ja jos ei, mitä teemme sen sijasta? Tämä yleiskatsaus osoittaa elävän asiakirjan arvon, koska tänään saatu vastaus voi muuttua huomisen ohjelmistopäivityksen seurauksena. Riippumatta siitä, kuuluuko organisaationne itse huolellisuusvelvoitteen piiriin vai saatteko tämän kysymyksen, koska tilaaja vaatii sitä, voitte viidessä kysymyksessä näette, missä oletteEpäiletyissä käsitteissä, kuten segmentoinnissa tai hallintatilin hallinnassa, on saatavilla usein kysyttyjen kysymysten vastaukset .
Monivaiheinen todentaminen ei siis ole valintaruutu, joka näyttää kaikkialla samalta, vaan toimenpide, joka saa eri muodon kussakin järjestelmässä. Omaa tilannetta varten ja kysymykseen siitä, onko tietty poikkeus koneilleen kestävä tilaajaa tai sääntelyviranomaista vastaan, oikeudellinen neuvonta tai sääntelyviranomaisen kanssa käytävät neuvottelut ovat oikea tie — secria.eu kuvaa, mikä on sovellettavissa, ja auttaa sen dokumentoimisessa, mutta ei anna ratkaisua yksittäisestä tilanteestanne.
Haluatko näyttää tämän yleiskatsauksen omalle yrityksellesi, mukaan lukien järjestelmät, jotka tulevat ja eivät tule huomioon? Tee ilmainen pika-arvio tai lue aiheet ensin.