Višestruka provjera — često skraćena kao MFA, dodatna provjera uz lozinku, primjerice kod na telefonu — nije doslovno navedena kao obveza u NIS2-smjernici ili Zakonu o kibernetskoj sigurnosti. Ono što je navedeno, u obvezi pažnje članka 21, jest da organizacije primjenjuju odgovarajuće tehničke i organizacijske mjere za kontrolu pristupa i druga područja. Za većinu urjednih sustava, oblačne primjene i vanjski pristup u metalnoj i proizvodnoj industriji to u praksi gotovo uvijek znači: da, višestruka provjera je dio toga. Za strojeve i kontrolne sustave na proizvodnoj hali situacija je nijansiranija, što je tema ovoga članka.
Razlika je u onome što sustav tehnički može i u riziku ako se ispostavi da samo lozinka nije dovoljna. Portal za prijavu iz kuće ili oblačna administracija može gotovo uvijek imati dodatnu razinu provjere. PLC-konzola stara dvadeset godina na proizvodnoj hali često ne može, pa se pitanje premješta s "MFA ili ne" na "koja druga mjera to nadoknađuje".
Što obaveza pažnje od vas očekuje
Obaveza pažnje ne navodi fiksnu popis proizvoda ili marki. Nadzorni organi i sama smjernica govore o mjerama koje odgovaraju rizicima, stanju tehnike i troškovima provedbe. Kontrola pristupa jedan je od čestih predmeta: tko smije gdje, kako se to provjerava, i što se dogodi ako lozinka bude ukrađena ili pogođena. Višestruka provjera je trenutno jedan od najčešće korištenih načina da se odgovori na to pitanje, pa se zato pojavljuje u gotovo svakom tumačenju ove mjere što ga naiđemo — i kod nadzornih organa u drugim članicama. Kako je to točno provedeno u vašoj zemlji i kakvo dodatno objašnjenje daje nadzorni organ, možete provjeriti putem pregleda provedbe po području.
Gdje se višestruka provjera najčešće očekuje
U metalnom ili proizvodnom poduzeću mjesta gdje je to najviše na mjestu često su ista: pristup oblačnoj okruženju i administraciji, pošte zaposlenika, vanjski pristup putem VPN-a za one koji rade na daljinu, i napose računi s administratorskim ovlastima — IT-upravitelj, upravitelj sustava ERP-paketa, osoba koja može pristupiti sigurnosnim kopijama. Upravo su ti administratorski računi privlačni za napadače jer jedna ukrađena lozinka odmah daje pristup mnogo više nego samo jednoj poštanskoj sandučiću. Naručitelji koji pošalju popis kontrole sigurnosti, gotovo uvijek se ovdje eksplicitno pitaju, a prazan odgovor na to pitanje redovito je teže objasniti nego iskren "još nije na svim mjestima, s ovim vremenskim planom".
Gdje proizvodnji sustavi zahtijevaju drugačiji pristup
Proizvodna hala je drugačija priča. CNC-stroj, SCADA-sustav ili PLC koji traje desetljećima često nije izgrađen s login-ekranom koji podržava drugu razinu provjere. Ovdje obaveza pažnje ne zamjenjuje nemoguće obvezom, već prebacuje pozornost na druge, dopunske mjere: odvajanje sustava u odvojen mrežni segment, ograničavanje fizičkog pristupa prostoru upravljanja, i dobro bilježenje tko je kada mogao pristupiti kojoj mašini. Segmentacija — odvajanje proizvodne mreže od mreže ureda — u takvim je slučajevima često mjera koja ispunjava jaz što ga višestruka provjera drugdje zatvara. Gdje je stroj zaista priključen na poduzećevu mrežu, primjerice za monitoring na daljinu ili ažuriranje softvera, taj je sam spoj rizik koji zahtijeva pozornost, iako to ne mijenja ništa u tehnologiji stroja.
Kako ovo razlikovanje primjenjujete u praksi
Korisna prva faza je pregled svih sustava koji daju pristup poslovnim podacima ili proizvodnim procesima, s pitanjem za svaki sustav: može li to tehnički podržati višestruku provjeru, i ako ne, što ćemo učiniti umjesto toga. Taj je pregled upravo gdje živući dossier dokazuje svoju vrijednost, jer jedan odgovor od danas može se promijeniti softverskom ažuriranjem od sutra. Bilo da vaša organizacija sama pada pod obvezu brižnosti ili da ovo pitanje dobijate jer vam to traži naručitelj, možete vidi gdje stojite u pet pitanjaimati odgovore na česta pitanja na raspolaganju.
Višestruka provjera dakle nije označnica koja svugdje izgleda jednako, već mjera koja dobija drugačije oblikovanje za svaki sustav. Za vašu konkretnu situaciju, te za pitanje je li određena iznimka za vaše strojeve održiva prema naručitelju ili nadzornom tijelu, pravni savjet ili konzultacija s nadzornim tijelom ostaje odgovarajući put — secria.eu opisuje što se primjenjuje i pomaže da se to zabilježi, ali ne sudi o vašoj posebnoj situaciji.
Želite li vidjeti ovaj pregled za vaše vlastito poduzeće, uključujući sustave koji dolaze i ne dolaze u obzir kod vas? Napravite besplatnu brzu procjenu ili prvo pročitajte teme.