Kötelező-e a többfaktoros hitelesítés (MFA) egy IKT-szolgáltatónak? Nincs rövid válasz, és pontosan ezért kerül ez a kérdés fel olyan gyakran felügyeleti hatóságoknál, megbízóknál és biztonsági kérdőívekben. A NIS2-irányelv a többfaktoros hitelesítést vagy folyamatos hitelesítést kifejezetten említi a gondoskodási kötelezettséghez tartozó intézkedés példájaként, de nem írja elő, melyik rendszernél, kit érint és milyen időpontban kell bevezetni. Ezt az értelmezést maga a szervezet végzi el, és ez teszi az témát egy egyszerű igen vagy nem válasznál összetettebb kérdéssé.
Ami világos: amikor egy fiók távolról hozzáférést biztosít egy ügyfél rendszereihez, adataihoz vagy infrastruktúrájához, a felügyeleti hatóságok és megbízók egyaránt azt várják, hogy több legyen, mint csupán egy jelszó. Ez vonatkozik a saját személyzetre, az alvállalkozókra és az ideiglenes hozzáférésre, amely egy projekt után visszavonásra kerül. Ahol kevésbé erős ez az elvárás, az a belső, alacsony kockázatú hozzáférés esetén, amely kívülről nem érhető el. Ez a határ, amelyet a cikk továbbfejt.
Miért kerül az MFA szinte minden kérdőívben elő
IKT-szolgáltatóként gyakran Ön az a fél, aki egy ügyfélnél távolról bejelentkezik, frissítéseket végez vagy hibákat javít. Pontosan ez a hozzáférési útvonal vonzó egy támadó számára: egy ellopott jelszó több ügyfélkörnyezet egyidejű hozzáféréséhez vezethet. Az olyan megbízók, akik maguk is gondoskodási kötelezettség alá tartoznak, értékelniük kell beszállítóikat, és a többfaktoros hitelesítés a távolról történő hozzáférésnél az egyik első dolog, amit megkérdeznek. Aki erre nem tud válaszolni, azt tapasztalja, hogy a kérdőívek hosszabbak lesznek, vagy a szerződés függőben marad.
néhány kérdésből látható, hogy a szervezete a láncon keresztül érintett-e első utalást ad arra, hogy az ilyen követelmények milyen mértékben érhetik meg Önt. Egy olyan MKB-szolgáltatónak, aki több kötött ügyfélnél dolgozik, nagy a valószínűsége, hogy ugyanez a kérdés ismételten felmerül, csak kissé eltérő megfogalmazásban.
Hol várható szerkezetileg az MFA
Három hozzáférési útvonal fordul elő a gyakorlatban leggyakrabban olyan helyként, ahol a többfaktoros hitelesítésnek állnia kell. Először is: távolról történő felügyelet, azaz minden kapcsolat, amellyel egy felügyelő a hálózaton kívülről egy rendszerhez juthat, beleértve a VPN-hozzáférést és a távoli asztali kapcsolatokat. Másodszor: a hozzáférés az ügyfél rendszereihez, azaz kifejezetten egy megbízónál történő bejelentkezéshez létrehozott fiókok, különösen amikor az adott hozzáférés felügyeleti jogokat biztosít. Harmadszor: alvállalkozók és külső felek, akik nevében egy ügyfélnél munkát végeznek; az ő hozzáférésére ugyanez az elvárás vonatkozik, még akkor is, ha az alvállalkozó nem szerepel közvetlenül a kérdőívben.
Ez a három kategória esetén a minta mindig ugyanaz: minél távolabb van a hozzáférés a saját, fizikailag védelemmel ellátott hálózattól, annál erősebb az elvárás egy második hitelesítési lépés jelenlétére.
Hol még nyitott a vita
Saját irodai hálózaton belül, egy olyan fiók esetén, amely csak helyileg működik és nincs külső kapcsolódása, az MFA szükségessége kevésbé egyértelmű. Ez nem azt jelenti, hogy nem fontos, hanem azt, hogy az értékelés itt inkább a kockázattal és arányosságtal foglalkozik, mint egy kemény norma követésével. Ugyanez a finomság vonatkozik a megosztott funkcionális fiókokra, amelyek nem egy személyhez kötöttek: ezeknek más megoldást igényelnek, mint egyénenként egy második lépés, például magát a fiókot eltörölni a személyes bejelentkezési adatok javára.
Ez az a kategória, amellyel a szervezetek leggyakrabban küszködnek, amikor biztonsági kérdőív érkezik: nem az egyértelmű esetek, hanem azok a rendszerek, amelyek valahol középen helyezkednek el. olvassa el az értelmezést helyzet szerint segít abban, hogy meglássa, mely kategóriába valószínűleg esik egy adott rendszer, anélkül, hogy előbb végig kellene olvasnia az egész irányelvt.
Mit jelent ez a saját dossziéra nézve
A gondoskodási kötelezettség teljesítéséhez nem elég az, hogy az MFA be van állítva, hanem azt is bizonyítani kell: ki hozta a döntést, mely rendszereken van engedélyezve, és milyen az állapota azoknak a rendszereknek, amelyeknél még hiányzik. Ez pontosan az a fajta dokumentáció, amely egy élő dossziét igényel az egyszer végrehajtott intézkedés helyett. Ha bizonytalan abban, hogy egy adott hozzáférést mennyire szigorúan kell megítélni, az ellenőrző hatóság vagy egy jogász az illetékes fél arra, hogy az Ön helyzetére értékelje; ez a magyarázat arra szolgál, hogy a kérdést pontosabba tegye, nem hogy helyettesítse azt.
Kíváncsi, hogyan jelenik meg ez a téma a saját dossziéjában? olvassa el, honnan származik a secria.eu-n lévő információ megmutatja, hogyan tartjuk nyilván a forrásokat, és az ingyenes NIS2-ellenőrzés néhány perc alatt első képet ad arról, hogy hol áll.