Višefaktorska autentifikacija, poznata i kao dvofazna verifikacija ili MFA, jest prijava nečim što znate (lozinka) i nečim što imate (kod na telefonu, ključ ili aplikacija). Za instalacijska poduzeća koja podliježu obavezi brige NIS2 ili koja kao dobavljač dobivaju popis pitanja o sigurnosti, ovo je jedno od najčešće postavljanih pitanja: je li to obavezno svugdje, ili samo na određenim mjestima?
Kratko rečeno: obaveza brige ne propisuje tehnologiju, već zahtijeva mjere koje odgovaraju riziku. Za sustave koji su dostupni na daljinu, kao što su e-pošta, vaš ERP-sustav, VPN-povezanost ili kontrolni paneli softvera za planiranje i naplatu, višefaktorska autentifikacija se obično smatra osnovnom mjerom. Za pristup zgradi, ključarnici ili sustavu kod korisnika na mjestu rada situacija je nijansiranija, što je za mnoga instalacijska poduzeća praktično pitanje.
Gdje se višefaktorska autentifikacija obično očekuje
Logika je jednostavna: što je sustav dalje od vaše ureda i što su osjetljiviji podaci iza njega, to snažnija zaštita trebala bi biti. Tehničar koji se prijavljuje na poslovnu mrežu sa svoje telefona, administrativni zaposlanik koji može pristupiti evidenciji iz doma, ili voditeljski kadar koji može daljinski pristupiti planiranju – to su svi slučajevi gdje je lozinka sama po sebi ranjiva na phishing ili ponovno korištenje procijenjenih pristupnih podataka. Višefaktorska autentifikacija čini da ukrađena lozinka sama po sebi nije dovoljna za pristup.
Isto vrijedi za račune s povećanim ovlastima: upravitelj mreže, vlasnik oblačne okoline, ili osoba koja može odobriti račune. Upravo su ti računi za napadače najvrjedniji, i upravo se tamo često traže prvi u popisu pitanja o sigurnosti od strane naručitelja. Tko želi znati više o tome što se točno nalazi u tom popisu, to će pronaći na stranici o temama koje su razrađene po sektoru.
Gdje je situacija nijansiranija: sustavi kod korisnika na mjestu rada
Instalacijska poduzeća često rade na mjestu rada: kod korisnika doma, u poslovnoj zgradi ili na gradilištu. Tu nastaju situacije koje se ne mogu izravno uspoređivati s kancelarijskim radom. Tehničar koji se mora prijaviti na sustav upravljanja zgradom korisnika obično koristi pristupne podatke koje upravlja sam korisnik, a ne one svoga poduzeća. Pitanje tko tamo uređuje višefaktorsku autentifikaciju i tko je nadzire, primalno je na odgovoru vlasnika tog sustava, a ne instalacijskog poduzeća koje tamo privremeno ima pristup.
Također, dijeljena oprema u poslovnom vozilu, kao što je tablet koji koriste brojni tehničari, praktičan je slučaj u kojem stroga MFA-obaveza može biti u suprotnosti s praktičnošću rada na terenu. To ne znači da sigurnost tamo nestaje, ali znači da njezin oblik može biti drugačiji: na primjer, kratka trajanja sesije, odvojeni račun za svakog tehničara umjesto zajedničkog računa, ili pristup koji se automatski gubi nakon obavljenog rada. Nadzorni organi i naručitelji pri tomu prije svega paze na to postoji li svjesna procjena, ne na to primjenjuje li se točno isto tehničko rješenje svugdje.
Razlika između fizičkih ključeva i pristupa zgradama s jedne strane te digitalnog pristupa sustavima s druge strane nešto je o čemu instalacijska poduzeća često postavljaju pitanja. Tko želi šire istražiti taj predmet, može pronaći pojašnjenje tko što gdje može na stranici o upravljanju pristupima u grani.
Što to znači za razgovor s naručiteljem
Sigurnosni upitnik često postavlja jednostavno pitanje s odgovorom da/ne o MFA, dok je praksa suptilnija. Pomaže ako za svaki sustav možete pokazati gdje je postavljena višefaktorska autentifikacija, zašto je za taj sustav odabrana, i kako se rukuje iznimkama. Upravo tu vrijednost donosi živi dosije: ne samo kvačica uz mjeru, već dokaz i vlasnik po sustavu, tako da je odgovor na upitnik točan i dobro utemeljen.
Je li vaša tvrtka podložna obvezi zaštite, pogođena je li lancem opskrbe, ili ni jedno od toga, možete vidjeti s nekoliko pitanja putem besplatne provjere koja mapira vašu situaciju. Za one koji točno žele znati kako secria.eu dolazi do svojih informacija i koji se izvori koriste, to je pojašnjeno na stranici o tome kako platforma radi. A za konkretna pitanja što spada i što ne spada pod obvezu zaštite, postoji pregled s odgovorima na pitanja koja instalaterska poduzeća često postavljaju.
Višefaktorska autentifikacija nije cilj sam po sebi, već jedan od građevnih blokova u dossieju koji pokazuje da je pristup sustavima promišljeno uređen. Za situaciju vašeg vlastita poduzeća, s njegovim vlastitim sustavima i radnom metodom na mjestu, i dalje je potrebna vlastita procjena; banka znanja i brza provjera pomažu da se ta procjena donese s ispravnim informacijama.