Višestruka provjera, često nazivana MFA, je druga kontrola iza lozinke: kod iz aplikacije, SMS ili fizički ključ. Pitanje je li to obvezno za tvrtku koja razvija softver ne može se odgovoriti jednostavno sa da ili ne, jer Direktiva NIS2 ne propisuje specifičnu tehniku. Članak 21 obavezuje organizacije koje su obuhvaćene obvezom brige do primjerenih mjera za zaštitu pristupa i višestruke autentifikacije, a nadzornici pri tome gledaju gdje je rizik najveći.
Za tvrtku koja razvija softver u praksi su to dvije vrlo različite mjesta: razvojni lanac s kojim vi sami radite i softver koji isporučujete klijentima. Obje zahtijevaju vlastitu procjenu, a ta procjena nije svugdje jednako stroga.
Dva mjesta gdje višestruka provjera igra ulogu
Prvo mjesto je interno: okruženje u kojem rade vaši razvijatelji. Izvorni kod, razvojni lanac, konzole u oblaku i sustavi s kojima distribuirate u produkciju. Drugo mjesto je u samom proizvodu: ako softver koji gradite ili isporučujete ima zaslon za prijavu, višestruka provjera je tema i tamo, kako za vaše korisnike tako i za krajnje korisnike vaše klijente. Upitnik o sigurnosti od naručitelja gotovo uvijek postavlja pitanja o oba, često u odvojenim pitanjima koja su drugačije formulirana nego što biste očekivali.
Pri pristupanju vašem razvojnom lancu
Ovdje je najjača očekivanja. Tko može pristupiti izvornom kodu, tko može distribuirati u produkciju i tko ima administratorska prava u okruženju oblaka predstavlja najveći rizik ako se lozinka samo украje ili ponovno koristi. Za te račune, višestruka provjera u gotovo svakom okviru sigurnosti smatra se osnovnom mjerom, a to je i ono što nadzornici i klijenti očekuju na prvom mjestu. Upravljanje verzijama, sam razvojni lanac i napose svaki račun s pravima za distribuciju koda u produkciju u praksi bez iznimke trebaju biti zaštićeni drugim korakom.
To također uključuje pregled tko zapravo trebas taj pristup. Datoteka u kojoj je po sustavu navedeno tko može pristupiti i zašto olakšava odgovaranje na to pitanje u upitnici sa konkretnim odgovorom umjesto s pretpostavkom. kako se upravljanje pristupom i višestruka provjera objašnjavaju po temi daje početnu točku za to.
Za softver koji isporučujete
Druga razina je sam softver. Ako vaš proizvod ima funkciju prijave, pitanje ponudi li višestruku provjeru gotovo se uvijek pojavljuje u upitnik o sigurnosti, a ponekad čak kao ugovorni zahtjev. To je drugačija procjena nego kod vašeg vlastitog razvojnog lanca: ovdje nije riječ o tome što sami koristite, već o tome što isporučujete klijentu. Naručitelj koji je i sam obuhvaćen obvezom brige mora prema članku 21 procijeniti i svoj lanac opskrbe, a pitanje podržava li vaš proizvod jaku autentifikaciju dio je toga.
Odgovor ne mora biti da je to obavezno aktivirano svugdje. Često je dovoljno pokazati da mogućnost postoji, da se korisnici potiču da je koriste, i da imate plan za proširenje gdje rizik to opravdava.
Gdje je to manje samo od sebe razumljivo
Nije svaki račun ili okruženje zahtijeva istu razinu strogosti. Razvojno okruženje bez stvarnih podataka o klijentima, interni sustav dokumentacije samo s pravima čitanja ili samostalni alat koji povremeno koristi jedan razvojni inženjer imaju drugačiti rizik od računa s pristupom proizvodnji. Mjera brige od strane treba prikladan mjere koje odgovaraju rizicima, a ne primjenu iste teške zaštite svugdje. Nadzorni organi to vrednuju na temelju načela proporcionalnosti, što znači da je dobrotemeljeni izbor da se višefaktorska provjera ne primjeni na nekom mjestu upravo toliko dio dokumentacije kao i mjesta gdje je primjena obavezna.
Obrazloženje je ovdje ključna riječ. Izbor bez objašnjenja u upitnom listu brzo izgleda kao propust, dok isti izbor s kratkim razlogom često biva upravo odgovor koji naručitelj traži.
Što to znači za razgovor s naručiteljem
Naručitelj koji pošalje upitni list obično ne želi znati ispunjavate li svaku slovo zahtjeva, već želi znati razumijete li gdje su vaši rizici i kako se s njima svjesno nosite. Za višefaktorsku provjeru to znači: moći pokazati što je postavljeno na razvojnoj liniji, što je postavljeno u proizvodu i zašto je ostatak drugačije strukturiran. Tko je to po sustavu zabilježio sa statusom i vlasnikom, ne mora ponovno tražiti odgovor čim stigne sljedeći upitni list.
Kako će se to točno odraziti na vašu organizaciju ovisi o vašoj ulozi u lancu opskrbe i o tome što vaši klijenti konkretno traže; ako ste nesigurni, konzultirajte sam tekst Direktive ili savjetnika. Ako prvo želite znati gdje stojite, besplatna provjera u nekoliko pitanja daje prvi pokazatelj, i pojašnjenje gdje podaci dolaze pokazuje kako se taj pokazatelj kreira.
Ako želite šire čitati kako se ova tematika povezuje s ostalim mjerama brige od strane, to ćete naći u pregledu tema po situaciji. Brza provjera i baza znanja dostupne su bez ograničenja, bez potrebe za pravljenjem računa.