L'autenticazione a più fattori — spesso abbreviata come MFA, un controllo aggiuntivo oltre alla password, ad esempio un codice sul telefono — non è esplicitamente menzionata come obbligo nella direttiva NIS2 o nella Legge sulla cibersicurezza. Quello che c'è, nell'obbligo di diligenza dell'articolo 21, è che le organizzazioni devono adottare misure tecniche e organizzative appropriate, tra l'altro per la protezione degli accessi. Per la maggior parte dei sistemi d'ufficio, delle applicazioni cloud e dell'accesso esterno nell'industria dei metalli e della lavorazione, ciò significa in pratica quasi sempre: sì, l'autenticazione a più fattori deve esservi inclusa. Per le macchine e i sistemi di controllo sul piano di lavoro è più sfumato, e questo articolo approfondisce ulteriormente.
La differenza risiede in ciò che un sistema può fare tecnicamente e quale sia il rischio se solo una password non fosse sufficiente. Un portale di accesso per il lavoro da casa o un'amministrazione cloud può quasi sempre sostenere un passaggio di verifica aggiuntivo. Una console PLC di vent'anni fa sul piano di lavoro spesso no, e allora la domanda cambia da "MFA sì o no" a "quale altra misura compensa questo".
Quello che l'obbligo di diligenza vi richiede
L'obbligo di diligenza non elenca un elenco fisso di prodotti o marchi. Le autorità di controllo e la direttiva stessa parlano di misure appropriate ai rischi, allo stato dell'arte e ai costi di attuazione. La protezione degli accessi è uno dei temi ricorrenti: chi può accedere a che cosa, come viene controllato, e cosa accade se una password viene rubata o indovinata. L'autenticazione a più fattori è attualmente uno dei modi più comuni di rispondere a questa domanda, e quindi ricorre in quasi tutte le implementazioni di questa misura che incontriamo — anche presso le autorità di controllo in altri Stati membri. Come ciò sia stato esattamente implementato nel vostro paese, e quali chiarimenti fornisca l'autorità di controllo al riguardo, potete consultare tramite esaminare l'implementazione per ogni argomento.
Dove ci si aspetta di solito l'autenticazione a più fattori
In un'azienda metallurgica o di lavorazione, i luoghi dove ciò è più ovvio sono spesso gli stessi: accesso all'ambiente cloud e all'amministrazione, la posta in arrivo dei dipendenti, l'accesso esterno tramite VPN per chi lavora da remoto, e soprattutto gli account con diritti di amministratore — l'amministratore IT, l'amministratore di sistema del pacchetto ERP, chi può accedere ai backup. Proprio questi account amministrativi sono interessanti per un attaccante, perché una password rubata concede immediatamente accesso a molto di più di una casella postale. Gli appaltatori che inviano un questionario sulla sicurezza chiedono quasi sempre esplicitamente di questo, e una risposta vuota a questa domanda è di solito più difficile da giustificare di un onesto "non ancora ovunque, con questa tempistica".
Dove i sistemi di produzione richiedono un approccio diverso
Il piano di lavoro è un'altra storia. Una macchina CNC, un sistema SCADA o un PLC che dura decenni, spesso non è stato costruito con uno schermo di accesso che supporti un secondo passo di verifica. Qui l'obbligo di diligenza non sostituisce l'impossibile con un obbligo, ma sposta l'attenzione verso altre misure supplementari: isolate il sistema in un segmento di rete separato, limitate l'accesso fisico alla sala di controllo, e documentate bene chi potesse accedere a quale macchina e quando. La segmentazione — l'isolamento della rete di produzione rispetto alla rete d'ufficio — è in questi casi spesso la misura che colma il vuoto che l'autenticazione a più fattori sigilla altrove. Quando una macchina è invece collegata alla rete aziendale, ad esempio per il monitoraggio remoto o gli aggiornamenti software, quella connessione stessa conta come un rischio che richiede attenzione, anche se ciò non cambia nulla nella tecnologia della macchina.
Come fare questa distinzione nella pratica
Un primo passo utile è una panoramica di tutti i sistemi che consentono l'accesso ai dati aziendali o ai processi di produzione, con la domanda per ogni sistema: può tecnicamente supportare l'autenticazione a più fattori, e se no, cosa facciamo al suo posto. Questa panoramica è proprio dove un fascicolo gestito in modo continuativo dimostra il suo valore, perché una risposta odierna può cambiare a causa di un aggiornamento software domani. Indipendentemente dal fatto che la vostra organizzazione rientri direttamente nell'obbligo di diligenza, oppure che riceviate questa domanda perché un cliente ve la pone, potete vedrete in cinque domande dove sieteSe avete ancora dubbi su concetti come la segmentazione o l'account di gestione, qui troverete risposte alle domande frequenti pronte.
L'autenticazione a più fattori non è quindi una casella di controllo che ha lo stesso aspetto ovunque, ma una misura che riceve un'implementazione diversa per ogni sistema. Per la vostra situazione specifica, e per la questione se un'eccezione specifica per i vostri macchinari sia sostenibile nei confronti di un cliente o di un'autorità di vigilanza, il parere legale o il dialogo con l'autorità di vigilanza rimane la strada appropriata — secria.eu descrive ciò che è applicabile e aiuta a registrarlo, ma non esprime giudizi sulla vostra situazione individuale.
Desiderate che questa panoramica sia mostrata per la vostra azienda, inclusi i sistemi che rientrano o meno in considerazione nel vostro caso? Eseguite la scansione rapida gratuita o leggete prima gli argomenti.