L'autenticazione multi-fattore (MFA) è obbligatoria per un fornitore di servizi ICT? Non esiste una risposta breve, ed è proprio per questo che questa domanda ritorna così spesso presso i supervisori, i committenti e nei questionari di sicurezza. La Direttiva NIS2 cita esplicitamente l'autenticazione multi-fattore o l'autenticazione continua come esempio di una misura che rientra nell'obbligo di diligenza, ma non prescrive su quale sistema, per chi e in quale momento ciò debba avvenire. Questa definizione spetta all'organizzazione stessa, e ciò rende l'argomento più complicato di un semplice sì o no.
Ciò che è ben chiaro è: non appena un account fornisce accesso remoto ai sistemi, ai dati o all'infrastruttura di un cliente, sia i supervisori che i committenti si aspettano qualcosa di più di una semplice password. Questo vale per il personale interno, per i subappaltatori e per l'accesso temporaneo che viene revocato dopo un progetto. Dove questa aspettativa è meno rigorosa è per l'accesso interno a basso rischio che non è raggiungibile dall'esterno. È qui che si traccia il confine che questo articolo approfondisce ulteriormente.
Perché l'MFA ricorre in quasi ogni questionario
Come fornitore di servizi ICT, siete spesso la parte che accede da remoto per un cliente, esegue aggiornamenti o risolve i problemi. Esattamente questo percorso di accesso è attraente per un attaccante: una singola password rubata può fornire accesso a più ambienti client contemporaneamente. I committenti che stessi ricadono sotto l'obbligo di diligenza devono valutare i loro fornitori, e l'autenticazione multi-fattore su accesso remoto è una delle prime cose che viene chiesta. Chi non ha una risposta a riguardo, noterà che i questionari si allungano o che un contratto viene messo in sospeso.
in poche domande vedere se la vostra organizzazione è coinvolta attraverso la catena di fornitura fornisce una prima indicazione di quanto pesantemente questo tipo di requisiti può gravare su di voi. Per un fornitore PMI che lavora per più clienti soggetti a obblighi, è probabile che la stessa domanda ritorni più volte, solo con formulazioni leggermente diverse.
Dove l'MFA è strutturalmente attesa
Tre percorsi di accesso emergono nella pratica più frequentemente come luogo dove l'autenticazione multi-fattore deve essere presente. In primo luogo, la gestione remota: ogni connessione con cui un amministratore può accedere a un sistema dall'esterno della rete, incluso l'accesso VPN e le connessioni desktop remoto. In secondo luogo, l'accesso ai sistemi del cliente: account creati specificamente per accedere a un committente, soprattutto quando tale accesso conferisce diritti amministrativi. In terzo luogo, i subappaltatori e le parti esterne che eseguono lavori per vostro conto presso un cliente; il loro accesso rientra nella stessa aspettativa, anche se il subappaltatore stesso non figura direttamente nel questionario.
Per questi tre ambiti il pattern è sempre lo stesso: quanto più l'accesso è lontano dalla propria rete fisica isolata, tanto più forte è l'aspettativa che sia presente una fase di verifica secondaria.
Dove il dibattito rimane ancora aperto
All'interno di una propria rete aziendale, per un account che funziona solo localmente e senza collegamento esterno, la necessità di MFA è meno univoca. Questo non significa che sia irrilevante, ma piuttosto che la valutazione lì riguarda più il rischio e la proporzionalità che una norma rigida. La stessa sfumatura vale per gli account funzionali condivisi che non sono collegati a un individuo: richiedono una soluzione diversa da un secondo passaggio per persona, ad esempio eliminando l'account a favore di credenziali personali.
È questa la categoria con cui le organizzazioni lottano più spesso quando arriva un questionario di sicurezza: non i casi evidenti, ma i sistemi che si collocano da qualche parte nel mezzo. leggere la spiegazione per situazione aiuta a vedere in quale categoria rientra probabilmente un sistema specifico, senza dover leggere prima l'intera direttiva.
Cosa significa per il proprio fascicolo
Per l'obbligo di diligenza non conta solo se l'autenticazione a più fattori è stata implementata, ma anche se è dimostrabile: chi ha preso la decisione, su quali sistemi è attivata e qual è lo stato dei sistemi dove ancora manca. Questo è precisamente il tipo di documentazione che richiede un fascicolo dinamico anziché un'azione una tantum. In caso di dubbio su come valutare rigorosamente un accesso specifico, l'autorità di controllo o un consulente legale rimangono la parte competente per valutare la situazione; questa spiegazione è intesa a chiarire meglio la questione, non a sostituire tale valutazione.
Curiosità di sapere come questo argomento si riflette nel proprio fascicolo? leggere da dove provengono le informazioni su secria.eu mostra come gestiamo le fonti, e il controllo NIS2 gratuito fornisce in pochi minuti una prima panoramica della vostra situazione.