Ar daugiafaktorė autentifikacija (MFA) privaloma ICT paslaugų teikėjui? Trumpo atsakymo nėra, ir būtent todėl šis klausimas taip dažnai iškyla priežiūros institucijose, užsakovuose ir saugumo klausimynuose. NIS2 direktyvoje daugiafaktorė autentifikacija arba nuolatinė autentifikacija aiškiai minima kaip priežiūros pareigas atitinkančios priemonės pavyzdys, tačiau nenustatoma, į kurią sistemą, kam ir kada tai turi būti pritaikytas. Šios išraiškos nustatymas priklauso pačiai organizacijai, o tai sudėtingesnę šią temą nei paprastas taip arba ne.
Tačiau aišku tai: kai tik paskyra iš tolo suteikia prieigą prie kliento sistemų, duomenų ar infrastruktūros, priežiūros institucijos ir užsakovai tikisi, kad bus daugiau nei tik slaptažodis. Tai taikoma tiek savajam personalui, tiek subrangovams ir tiek laikinai suteiktai prieigai, kuri po projekto atšaukiama. Kur šis reikalavimas yra mažiau griežtas, tai vidinėje, mažo rizikos prieigoje, kuri nėra pasiekiama iš išorės. Čia yra riba, kurią šis straipsnis toliau analizuoja.
Kodėl MFA pasirodo beveik kiekviename klausimyne
Kaip ICT paslaugų teikėjas dažnai esate šalis, kuri iš tolo prisijungia prie kliento, atlieka atnaujinimus arba šalina triktis. Būtent šis prieigos kelias yra patrauklus užpuolikui: vienas pavogtas slaptažodis gali suteikti prieigą prie kelių kliento aplinkų iš karto. Užsakovai, kurie patys patenka į priežiūros pareigą, turi įvertinti savo tiekėjus, o daugiafaktorė autentifikacija iš tolo suteiktai prieigai yra vienas iš pirmųjų klausimų. Kas čia neturi atsakymo, pastebės, kad klausimynai trunka ilgiau arba sutartis sulaikyti.
per kelis klausimus pamatyti, ar jūsų organizacija yra paliesta per tiekimo grandinę suteikia pirmą indiciją, kaip sunkūs šie reikalavimai gali jūsų organizacijoje pasirodyti. MKB paslaugų teikėjui, kuris dirba keliems privalomiems klantams, yra didelė tikimybė, kad tas pats klausimas pasikartotų, tik su šiek tiek kitais žodžiais.
Kur MFA sistemingai tikimasi
Praktikoje trys prieigos keliai dažniausiai iškyla kaip vietos, kuriose turėtų būti daugiafaktorė autentifikacija. Pirma, nuotolinis valdymas: kiekvienas ryšys, kuriuo administratorius iš tiesų gali pasiekti sistemą, įskaitant VPN prieigą ir nuotolinio darbalaukio ryšius. Antra, prieiga prie kliento sistemų: paskyros, kurios konkrečiai sukurtos prisijungti pas užsakovą, ypač kai ta prieiga suteikia administratoriaus teises. Trečia, subrangovai ir išorinės šalys, kurios jūsų vardu atlieka darbą pas kliento; jų prieiga priklauso tam pačiam reikalavimui, nors subrangovas pats nėra tiesiogiai sąraše klausimyne.
Šiose trijose kategorijose šablonas yra tas pats: kuo toliau prieiga nuo savosios, fiziškai apsaugotos tinklo infrastruktūros yra, tuo stipresnis reikalavimas, kad antrasis patvirtinimo etapas būtų.
Kur diskusija dar tebevyksta
Savame biuro tinkle, paskyrai, kuri veikia tik lokaliai ir be išorinės sąsajos, MFA poreikis nėra toks vienareikšmis. Tai nereiškia, kad tai nesvarbu, tik kad vertinimas čia labiau susijęs su rizika ir proporcingumu nei su griežta norma. Tas pats niansuotumas taikomas ir bendrinėms funkcijoms skirtoms paskyroms, kurios nėra susietos su konkrečiu asmeniu: jos reikalingas kitas sprendimas nei antras žingsnis per asmenį, pavyzdžiui, paskyrą panaikinus ir ją pakeitus asmeniniais prisijungimo duomenimis.
Būtent ši kategorija sukelia sunkumus organizacijoms, kai gaunamas saugumo klausimynas: ne aiškūs atvejai, o sistemos, kurios kažkur yra tarpinėje padėtyje. perskaityti išsamius paaiškinjimus kiekvienai situacijai padeda pamatyti, į kurią kategoriją tikriausiai patenka konkretus sistema, nereikalaudama iš pradžių perskaityti visą direktyvą.
Ką tai reiškia jūsų dossier
Veiklos atsargumo pareigų atžvilgiu svarbu ne tik tai, ar MFA yra įjungta, bet ir tai, ar tai gali būti patvirtinta: kas priėmė sprendimą, kuriose sistemose ji įjungta ir kokia yra sistemų, kuriose jos trūksta, būsena. Tai yra tiksliai tokia informacija, kurią reikalauja dinamiškas dossier, o ne vienkartinis veiksmas. Jei abejojate, kaip griežtai turėtų būti vertinama konkreti prieiga, priežiūros institucija arba teisininkas yra tinkamiausias asmuo, kad tai nustatytų jūsų situacijai; šis paaiškinimas skirtas sukonkretinti klausimą, o ne jį keisti.
Smalsu, kaip ši tema atsiduria jūsų dossier? perskaitykite, iš kur kilusi informacija secria.eu parodyte, kaip mes prižiūrime šaltinius, ir nemokama NIS2-patikra per kelis minutes suteikia pradinį vaizdą apie jūsų padėtį.