Je li višefaktorska autentifikacija (MFA) obavezna za pružatelja ICT-usluga? Kratkog odgovora nema, i upravo je to razlog zašto se ovo pitanje tako često vraća nadzornicima, naručiteljima i u popisima sigurnosnih pitanja. Direktiva NIS2 eksplicitno navodi višefaktorsku autentifikaciju ili kontinuiranu autentifikaciju kao primjer mjere koja spada pod mjerne obveze, ali ne propisuje na kojem sustavu, za koga i u kojem trenutku to mora biti. Ta primjena je na samoj organizaciji, što čini temu kompliciranijom nego što bi bio jednostavan da ili ne.
Što je jasno: čim račun pruža daljinski pristup sustavima, podacima ili infrastrukturi klijenta, nadzornici i naručitelji očekuju da postoji više od samo lozinke. To se odnosi na vlastito osoblje, na podizvoditelje i na privremeni pristup koji se povlači nakon projekta. Gdje je taj očekivanje manje strogo je pri internom pristupu niskog rizika koji nije dostupan izvana. Tu granicu ovaj članak dalje razradi.
Zašto se MFA pojavljuje u gotovo svakom popisu pitanja
Kao pružatelj ICT-usluga, često ste osoba koja se za klijenta daljinski prijavljuje, provodi ažuriranja ili rješava probleme. Upravo je taj put pristupa privlačan za napadače: jedna ukradena lozinka može omogućiti pristup múltiplenoj klijentskoj okruženju odjednom. Naručitelji koji sami padaju pod mjerne obveze moraju procjenjivati svoje dobavljače, a višefaktorska autentifikacija pri daljinskom pristupu je jedno od prvih stvari koje se pitaju. Ako na to nemate odgovora, primijetit ćete da se popisi pitanja produljuju ili da ugovor staje.
u nekoliko pitanja vidjeti je li vaša organizacija pogođena lancem dobave daje prvi pokazatelj koliko teško takvi zahtjevi mogu na vas pasti. Za malo i srednje poduzeće kao pružatelja usluga koje radi za više obaveznih klijenta, velika je vjerojatnost da se isto pitanje ponovno pojavljuje, samo s malo drugačijom formulacijom.
Gdje se MFA strukturno očekuje
Tri puta pristupa najčešće dolaze u praksi kao mjesta gdje bi višefaktorska autentifikacija trebala biti. Prvo, daljinsko upravljanje: svaka veza preko koje se administrator može daljinski spojiti na sustav izvan mreže, uključujući VPN-pristup i konekcije udaljene radne površine. Drugo, pristup klijentskim sustavima: računi specifično kreirani za prijavu kod naročitelja, pogotovo kad taj pristup dodjeljuje administratorske dozvole. Treće, podizvoditelji i vanjske strane koje rade u vaše ime kod klijenta; njihov pristup pada pod ista očekivanja, čak i ako se podizvoditelj sam ne pojavljuje izravno na popisu pitanja.
Pri te tri kategorije obrazac je uvijek isti: što je pristup dalje od vlastite, fizički zaštićene mreže, to je jače očekivanje da postoji drugi korak provjere.
Gdje je rasprava još uvijek otvorena
Unutar vlastite uredske mreže, za račun koji radi samo lokalno i bez vanjskog povezivanja, potrebnost MFA je manje nedvosmislena. To ne znači da nije važna, već da procjena tamo više ide oko rizika i proporcionalnosti nego o tvrdom standardu. Ista nijansa vrijedi za dijeljene funkcionalne račune koji nisu vezani uz pojedinca: oni zahtijevaju drugačije rješenje od drugog koraka po osobi, primjerice brisanjem samog računa u korist individualnih podataka za prijavu.
To je ta kategorija s kojom se organizacije najčešće bore kada stignu popis sigurnosnih pitanja: ne jasni slučajevi, već sustavi koji negdje padaju između. pročitajte detaljnije objašnjenje po situaciji pomaže vam vidjeti u koju kategoriju neki specifičan sustav vjerojatno spada, bez da trebate prvo čitati cijelu direktivu.
Što to znači za vlastiti dosje
Za obvezu o dužnoj brizi ne računa se samo je li mehanism višestruke provjere postavljen, već i je li to dokazivo: tko je donio odluku, na kojim sustavima je uključen, i koji je status sustava gdje još nedostaje. To je upravo vrsta dokumentacije koju zahtijeva živi dosje umjesto jednokratne radnje. Ako sumnjate kako se specifičan pristup mora strogo procijeniti, nadzorni organ ili pravnik su prava osoba da to procijene za vašu situaciju; ovdje priloženo objašnjenje ima cilj da pojasni pitanje, a ne da ga zamijeni.
Zanimaju vas kako će se ova tema odraziti u vlastiti dosje? čitajte odakle dolaze informacije na secria.eu pokazuje kako čuvamo izvore, a besplatna NIS2-provjera daje vam prvu sliku gdje stojite u nekoliko minuta.