Daugiafaktorė autentifikacija — dažnai sutrumpinama MFA, papildoma kontrolė be slaptažodžio, pavyzdžiui, telefone gauta kode — nėra išreikšta kaip tiesioginis NIS2 direktyvoje arba Kibernetinio saugumo įstatyme nustatytas reikalavimas. Tačiau saugos pareigose, nurodytose 21 straipsnyje, sakoma, kad organizacijos turi imtis tinkamų techninių ir organizacinių priemonių, be kita ko, prieigos saugumui. Metalo apdirbimo ir gamybos pramonėje, kai kuriems biuro sistemams, debesų paslaugoms ir nuotolinei prieigai, tai praktikoje beveik visada reiškia: taip, daugiafaktorė autentifikacija turėtų būti įtraukta. Gamybos įrenginių ir darbo vietų veiklinių sistemų atveju situacija yra niuansuotesnė, ir šis straipsnis tai toliau aptaria.
Skirtumas yra tas, ką techninės sistemos gali atlikti ir kokia rizika kyla, jei tik slaptažodžio nepakanka. Nuotolinio darbo prisijungimo portalas arba debesų administravimo sistema beveik visada gali atlikti papildomą autentifikacijos žingsnį. Dvidešimt metų senumo PLC konsolė gamybos grindyse dažnai negali, ir tada klausimas persikelia iš "MFA ar ne" į "kokia kita priemonė tai kompensuoja".
Ko pareiga dėl saugumo iš jūsų tikisi
Pareiga dėl saugumo nenurodo fiksuoto produktų arba prekės ženklų sąrašo. Priežiūros institucijos ir pati direktyva kalba apie priemones, atitinkančias rizikas, technikos lygį ir vykdymo išlaidas. Prieigos saugumas yra vienas iš pasikartojančių šios priemonės klausimų: kas gali turėti prieigą, kaip tai patikrinama ir kas atsitiks, jei slaptažodis bus pavogtas ar atspėtas. Daugiafaktorė autentifikacija šiuo metu yra vienas iš dažniausiai naudojamų būdų į šį klausimą atsakyti, todėl ji pasikartoja beveik kiekvienoje mūsų sutinkamoje šios priemonės igyvendinimo versijoje — taip pat ir kitų valstybių narių priežiūros institucijose. Kaip tai tiksliai įgyvendinta jūsų šalyje ir kokias tolesnes pasaigas pateikia priežiūros institucija, galite patikrinti per kiekvieną temą atskirai peržiūrėti.
Kur daugiafaktorė autentifikacija dažniausiai tikimasi
Metalo apdirbimo ar gamybos bendrovėje vietų, kur tai akivaizdžiausia, dažnai yra tos pačios: prieiga prie debesų aplinkos ir administracijos, darbuotojų el. pašto dėžučių, nuotolinė prieiga per VPN tiems, kurie dirba iš nuotolio, ir labiausiai svarbu — paskyros su administratoriaus teisėmis — IT administratorius, ERP paketo sistemos administratorius, asuo, kuris gali prieiti prie atsarginių kopijų. Būtent šios administratoriaus paskyros yra patrauklios užpuldininkui, nes vienas pavogtas slaptažodis suteikia prieigą prie daug daugiau nei viena pašto dėžutė. Užsakovai, siunčiantys saugumo klausimyną, čia beveik visada aiškiai klausdami, o tuščias atsakymas į šį klausimą paprastai yra sunkiau paaiškinti nei sąžiningas "dar ne visur, su šiuo laiku planu".
Kur gamybos sistemos reikalauja kitokio požiūrio
Gamybos grindys — tai visai kita istorija. CNC staklės, SCADA sistema ar PLC, kurie tarnauja dešimtmečius, dažnai nėra pastatytos su prisijungimo ekranu, palaikančiu antrinį autentifikacijos žingsnį. Čia pareiga dėl saugumo nepakeičia neįmanomo į reikalavimą, bet perkelia dėmesį į kitas, papildomas priemones: sistemos izoliavimą atskirame tinklo segmente, fizinę prieigą prie valdymo kambario apribojimą ir gerai užregistruoti, kas kada prie kurios mašinos turėjo prieigą. Segmentacija — gamybos tinklo atsiskyrimas nuo biuro tinklo — tokiais atvejais dažnai yra priemonė, užpildanti tarpą, kurį daugiafaktorė autentifikacija kitose vietose uždarė. Kai mašina iš tikrųjų prijungta prie įmonės tinklo, pavyzdžiui, nuotoliniam monitoringui arba programinės įrangos naujinimams, ta pati jungtis jau yra rizika, reikalaujanti dėmesio, nors tai nepakeičia pačios mašinos technikos.
Kaip praktikoje daryti šį skirtumą
Naudingas pirmas žingsnis – pasidaryti visų sistemų, kurios suteikia prieigą prie verslo duomenų arba gamybos procesų, katalogą ir kiekvienai sistemai užduoti klausimą: ar ji techniškai gali palaikyti daugybinį patvirtinimą, ir jei ne, ką mes darysime jos vietoje. Toks katalogas yra tiksliai ten, kur gyva byla pasirodo jos vertinga, nes šiandieninį atsakymą rytojaus programinės įrangos atnaujinimas gali pakeisti. Nepaisant to, ar jūsų organizacija pati patenka į priežiūros pareigybę, ar šį klausimą gaunate todėl, kad tai nuo jūsų reikalauja užsakovas, jūs penkiuose klausimuose pamatykite, kur stovite. Jei abejojate dėl tokių sąvokų kaip segmentacija arba valdymo paskyra, jūs taip pat rasite juos čia atsakymas į dažnai užduodamus klausimus paruoštas naudojimui.
Kelių faktorių autentifikacija nėra tiesiog vienodai atliekamas žingsnis, bet priemonė, kuri kiekvienoje sistemoje įgyvendinama skirtingai. Dėl jūsų konkrečios situacijos ir to, ar specifinė išimtis jūsų mašinoms yra ginčytina prieš užsakovą ar reguliavimo instituciją, teisinė konsultacija arba pokalbis su reguliavimo institucija išlieka tinkamiausia banga — secria.eu aprašo, kas taikytina, ir padeda tai užfiksuoti, tačiau nesitarnauja vertinti jūsų individualios situacijos.
Ar norėtumėte matyti šią apžvalgą savo įmonei, įskaitant sistemas, kurios jums tinka ir kurios netinka? Atlikite nemokamą greitą patikrą arba pirmiausia perskaitykite temas.