A többfaktoros hitelesítés — gyakran MFA-ként rövidítve, egy további ellenőrzés a jelszó mellett, például egy kód a telefon képernyőjén — nem kifejezetten a NIS2-irányelv vagy a Kiberbiztonsági törvény kötelezettségeként szerepel. A biztonsági kötelezettség 21. cikkelyében viszont az szerepel, hogy a szervezetek megfelelő technikai és szervezeti intézkedéseket vezetnek be többek között a hozzáférési védelem terén. A fém- és feldolgozóiparban működő legtöbb irodai rendszer, felhőalkalmazás és távoli hozzáférés esetén ez gyakorlatban szinte minden esetben azt jelenti: igen, a többfaktoros hitelesítés ide tartozik. A gépek és a termelési helyek vezérlőrendszerei esetében azonban árnyaltabb a helyzet, és ezt az anyag részletesebben vizsgálja.
A különbség abban rejlik, hogy egy rendszer technikailag mire képes, és mekkora a kockázat, ha a csupán jelszóval történő védelem nem bizonyul elégségesnek. Egy otthonról való bejelentkezési portál vagy egy felhőalapú adminisztráció szinte mindig képes egy további hitelesítési lépést kezelni. Egy húsz éves PLC-konzol a termelési helyen azonban gyakran nem, és ekkor az "MFA vagy sem" kérdése áthelyeződik arra, hogy "milyen egyéb intézkedés kompenzálja ezt".
Mit vár el tőle a biztonsági kötelezettség
A biztonsági kötelezettség nem sorol fel rögzített terméklista vagy márkakalálogus. A felügyeleti hatóságok és az irányelv maga olyan intézkedésekről beszél, amelyek megfelelnek a kockázatoknak, a technika aktuális szintjének és a végrehajtás költségeihez. A hozzáférési védelem ez során az egyik visszatérő témakör: ki férhet hozzá, hogyan kerül sor az ellenőrzésre, és mi történik, ha egy jelszót ellopnak vagy kitalálnak. A többfaktoros hitelesítés jelenleg az egyik leggyakoribb mód ennek a kérdésnek a megválaszolására, és ezért szinte minden olyan intézkedés kidolgozásában visszaköszön, amelyet mi találunk — más tagállamok felügyeleti hatóságainál is. Ennek pontos átültetése az ön országában, valamint a felügyeleti hatóság erről adott részletesebb útmutatása a következő útvonalon ellenőrizhető: az adott téma részletesebb vizsgálata.
Ahol a többtényezős hitelesítés általában elvárható
Egy fémfeldolgozó vagy gyártási cégnél azok a helyek, ahol ez a legtermészetesebben jöhet szóba, gyakran azonosak: hozzáférés a felhőkörnyezethez és az adminisztrációhoz, az alkalmazottak levelezésébhez, távoli VPN-hozzáférés az otthonról dolgozóknak, és legfőképpen a rendszergazdai jogosultságokkal rendelkező fiókok — az IT-rendszergazda, az ERP-csomag rendszergazdája, aki a biztonsági mentésekhez fér hozzá. Éppen ezek a rendszergazdai fiókok vonzóak a támadók számára, mivel egyetlen ellopott jelszó azonnal sokkal több hozzáférést biztosít, mint csupán egy postafiók. A biztonsági kérdőíveket küldő megrendelők szinte mindig explicit módon rákérdeznek erre, és egy üres válasz erre a kérdésre általában nehezebben magyarázható, mint az őszinte „még nem mindenütt, de ezen az ütemezésen dolgozunk
Ahol a termelési rendszerek másik megközelítést igényelnek
A termelési hely más eset. Egy CNC-gép, egy SCADA-rendszer vagy egy PLC, amely évtizedeken át működik, gyakran nem úgy van felépítve, hogy bejelentkezési képernyővel rendelkezne, amely második ellenőrzési lépést támogat. Itt a gondosságvételem nem az lehetetlent helyettesíti kötelezettséggel, hanem más, kiegészítő intézkedések felé irányítja a figyelmet: a rendszer izolálása egy külön hálózati szegmensben, a műveleti terület fizikai hozzáférésének korlátozása, és részletesen dokumentálva, hogy ki, mikor, melyik géphez férhetett hozzá. A szegmentáció — a termelési hálózat elkülönítése az irodai hálózattól — ilyen esetekben gyakran az az intézkedés, amely azt a rést tölti be, amelyet máshol a többfaktoros hitelesítés zár le. Ahol egy gép valóban csatlakozik a vállalati hálózathoz, például távolról történő monitorozáshoz vagy szoftverfrissítésekhez, ez a kapcsolat önmagában olyan kockázatnak számít, amely figyelmet igényel, még akkor is, ha ez semmit nem változtat a gép technikáján.
Hogyan teszi ezt a megkülönböztetést a gyakorlatban
Az első hasznos lépés az összes olyan rendszer áttekintése, amely hozzáférést biztosít az üzleti adatokhoz vagy termelési folyamatokhoz, és minden rendszer esetén feltennünk kell a kérdést: képes-e ez a rendszer technikailag többtényezős azonosítást támogatni, és ha nem, mit teszünk helyette. Ez az áttekintés pontosan arra való, ahol egy élő dossié a legtöbb értéket nyújtja, mivel a mai válasz egy holnapi szoftverfrissítés által megváltozhat. Függetlenül attól, hogy szervezete maga tartozik-e a gondossági kötelezettség alá, vagy azt azért kapja ezt a kérdést, mert egy megrendelő tőle megkéri, öt kérdésben meglátja, hol álltétovázik még olyan fogalmak körül, mint a szegmentálás vagy a menedzsmentfiók, akkor ott is gyakran ismételt kérdésekre adott válaszok található.
A többtényezős azonosítás tehát nem egy olyan jelölőnégyzet, amely mindenhol ugyanúgy néz ki, hanem egy olyan intézkedés, amely rendszerenként más-más megoldást kap. Az adott helyzetre és arra a kérdésre, hogy egy adott kivétel az Ön gépei vonatkozásában tartható-e egy megrendelővel vagy felügyeleti hatósággal szemben, jogi tanácsadás vagy a felügyeleti hatósággal való konzultáció marad az előírt út — a secria.eu leírja, hogy mi az alkalmazandó, és segít azt rögzíteni, de nem ítélkezik az Ön egyedi helyzete fölött.
Szeretné ezt az áttekintést a saját vállalkozása számára megjeleníteni, beleértve azokat a rendszereket, amelyek vagy nem tartoznak az Ön hatálya alá? Végezze el az ingyenes gyorstesztet, vagy először olvassa végig a témákat.