L'autenticazione a più fattori, nota anche come autenticazione a due fattori o MFA, consiste nell'accesso con qualcosa che conosce (una password) e qualcosa che possiede (un codice sul telefono, una chiave o un'app). Per le aziende di impianti che rientrano nell'ambito di applicazione della direttiva NIS2 o che ricevono un questionario sulla sicurezza come fornitore, questa è una delle domande più frequenti: è obbligatorio ovunque o solo in determinati luoghi?
La risposta breve: la direttiva NIS2 non prescrive alcuna tecnologia specifica, ma richiede misure proporzionate al rischio. Per i sistemi accessibili da remoto, come la posta elettronica, il sistema ERP, la connessione VPN o il pannello di controllo del software di pianificazione e fatturazione, l'autenticazione a più fattori è generalmente considerata una misura di base. Per l'accesso a una struttura, un armadio portattrezzi o un sistema presso un cliente in loco, la situazione è più complessa e pone un interrogativo pratico per molte aziende di impianti.
Dove l'autenticazione a più fattori è solitamente richiesta
Il ragionamento di base è semplice: quanto più un sistema è distante dall'ufficio aziendale e quanto più sensibili sono i dati ad esso associati, tanto più robusta deve essere la protezione. Un tecnico che accede alla rete aziendale dal telefono, un impiegato amministrativo che accede ai documenti da casa, o un responsabile che accede alla pianificazione da remoto: sono tutti casi in cui una sola password è vulnerabile al phishing o al riutilizzo di credenziali trapelate. L'autenticazione a più fattori garantisce che una password rubata non sia sufficiente per accedere.
Lo stesso vale per gli account con diritti elevati: l'amministratore di rete, il proprietario dell'ambiente cloud o chi può approvare le fatture. Proprio questi account sono i più preziosi per un attaccante e sono spesso i primi a cui viene chiesto di accedere in un questionario sulla sicurezza di un cliente. Per saperne di più su quali argomenti vengono affrontati in dettaglio per settore, consultare la pagina sugli argomenti sviluppati per settore.
Dove la situazione è più articolata: sistemi presso i clienti in loco
Le aziende di impianti spesso lavorano in loco: a casa di un cliente, presso una struttura commerciale o su un cantiere. Queste situazioni non sono direttamente paragonabili al lavoro d'ufficio. Un tecnico che deve accedere a un sistema di gestione degli edifici del cliente utilizza spesso credenziali gestite dal cliente stesso, non dall'azienda di impianti. La questione di chi gestisca l'autenticazione a più fattori e di chi eserciti la supervisione ricade principalmente sul proprietario del sistema, non sull'azienda di impianti che ha accesso temporaneo.
Anche l'uso condiviso di apparecchiature in un'auto aziendale, come un tablet utilizzato da più tecnici, è un caso pratico in cui un'esigenza ristretta di MFA può confliggere con l'operatività sul campo. Ciò non significa che la sicurezza sia assente, ma piuttosto che l'implementazione può essere diversa: ad esempio una durata di sessione breve, un account separato per ciascun tecnico anziché un account condiviso, o accesso che scade automaticamente al termine del lavoro. Le autorità di vigilanza e i clienti verificano principalmente se sia stata effettuata una valutazione consapevole, non se sia stata applicata esattamente la stessa soluzione tecnica ovunque.
La distinzione tra chiavi fisiche e accesso agli edifici da un lato e accesso digitale ai sistemi dall'altro è un argomento su cui le aziende di impianti ricevono spesso domande. Chi vuole approfondire ulteriormente questo tema troverà una spiegazione su chi ha accesso dove nel settore sulla pagina relativa al controllo degli accessi nel settore.
Cosa significa questo nella comunicazione con un cliente
Un questionario sulla sicurezza spesso pone una semplice domanda sì/no su MFA, mentre nella pratica la situazione è più sfumata. Aiuta poter mostrare per ogni sistema dove si trova l'autenticazione a più fattori, perché è stata scelta lì, e come vengono gestite le eccezioni. È proprio qui che un dossier vivo aggiunge valore: non solo una spunta accanto a una misura, ma una prova documentale e un proprietario per ogni sistema, affinché la risposta al questionario sia corretta e ben fondata.
Se la vostra azienda ricade nella sfera di applicazione degli obblighi, se è coinvolta nella catena di fornitura, o nessuno dei due, è possibile verificarlo con poche domande tramite il controllo gratuito che illustra la vostra situazione. Per chi desidera sapere precisamente come secria.eu ottiene le sue informazioni e quali fonti vengono utilizzate, è spiegato su la pagina su come funziona la piattaforma. E per domande concrete su cosa rientra e cosa non rientra nella sfera di applicazione degli obblighi, è disponibile un elenco di risposte alle domande che le aziende di installazione spesso pongono.
L'autenticazione a più fattori non è un fine in sé, ma uno dei pilastri di un dossier che dimostra che l'accesso ai sistemi è stato regolamentato in modo consapevole. Per la situazione della vostra azienda, con i suoi sistemi e il modo di operare in loco, rimane necessaria una valutazione autonoma; la base di conoscenze e la verifica rapida aiutano a effettuare tale valutazione con le informazioni corrette.