Kelias faktoriaus autentifikacija, dažnai vadinama MFA, yra antrasis patikrinimas be slaptažodžio: kodas iš programos, SMS ar fizinis raktas. Klausimas, ar tai yra privaloma programinės įrangos įmonei, negali būti atsakytas vienu taip arba ne, nes NIS2 direktyva nenurodo jokios specifinės technikos. 21 straipsnis įpareigoja organizacijas, kurioms taikomi saugumo reikalavimai, imtis tinkamų priėjimo kontrolės ir kelias faktoriaus autentifikacijos priemonių, o priežiūros institucijos žiūri, kur yra didžiausias rizika.
Programinės įrangos įmonei praktikoje tai yra dvi visai skirtingos vietos: kūrimo konvejeris, kuriuo dirbasite patys, ir programinė įranga, kurią pristatysite klientams. Abi vietos reikalingos atskiros vertinimo, ir tas vertinimas nėra vienodas visur.
Dvi vietos, kuriose kelias faktoriaus autentifikacija vaidina vaidmenį
Pirmoji vieta yra vidinė: aplinka, kurioje dirba jūsų kūrėjai. Šaltinio kodas, kūrimo konvejeris, debesų konsolės ir sistemos, kuriomis išdėstate į produkciją. Antroji vieta yra pačiame produkte: jei jūsų kuriama arba tiekiama programinė įranga turi prisijungimo ekraną, kelias faktoriaus autentifikacija yra tema ir ten, tiek jūsų vlastiems naudotojams, tiek jūsų kliento galutiniams naudotojams. Užsakovo saugumo klausimynas beveik visada klausia apie abi vietas, dažnai atskirais klausimais, kurie suformuluoti ne taip, kaip jūs tikėtumėtes.
Priėjimo prie jūsų kūrimo konvejerio atveju
Čia yra stipriausias lūkestis. Kas gali pasiekti šaltinio kodą, kas gali diegti į produkciją, ir kas turi administratoriaus teises debesų aplinkoje, sudaro didžiausią riziką, jei slaptažodis yra pavogtas arba iš naujo naudojamas. Tokioms paskyroms kelias faktoriaus autentifikacija beveik visuose saugumo reikalavimų rinkiniuose yra pagrindinė priemonė, ir tai yra tai, ko saugumo institucijos ir klientai pirmiausia tikisi. Versijų valdymas, pats kūrimo konvejeris, ir ypač kiekviena paskyra, turinti teises diegti kodą į produkciją, praktikoje be išimčių turėtų turėti antrąjį žingsnį.
Tam priklauso ir žvilgsnis į tai, kas iš tikrųjų dar turėtų turėti tą prieigą. Failas, kuriame nurodyta, kas gali pasiekti kiekvieną sistemą ir dėl kokios priežasties, palengvina atsakyti į šį klausimą saugos klausimyne konkrečiame atsakyme, o ne prielaida. kaip prieigos kontrolė ir kelių veiksnių patvirtinimas paaiškinami pagal temą pateikia tam pradžią.
Jūsų teikiamoje programinėje įrangoje
Antrasis lygis yra pati programinė įranga. Jei jūsų produktas turi prisijungimo funkciją, klausimas, ar teikiate kelių veiksnių patvirtinimą, beveik visada pasirodo saugos klausimyne, o kartais net kaip sutarties reikalavimas. Tai skiriasi nuo vertinimo jūsų pačių kūrimo procesoje: čia kalbama ne apie tai, ką naudojate jūs patys, bet apie tai, ką teikiate savo klientui. Užsakovas, kuris pats patenka į saugos prievolės reguliavimą, pagal 21 straipsnį turi įvertinti ir savo tiekėjų grandinę, o klausimas, ar jūsų produktas palaiko stiprų autentifikavimą, priklauso šiam vertinimui.
Atsakymas nebūtinai turi būti toks, kad visuose vietose būtų priverstinai įjungta. Dažnai pakanka parodyti, kad tokia galimybė egzistuoja, kad naudotojai yra skatinami jos naudoti, ir kad jūs turite planą ją išplėsti, kur tai rizika pateisina.
Kur tai mažiau akivaizdu
Ne kiekviena paskyra ar aplinka reikalauja vienodo svorio. Bandymų aplinka be tikrų klientų duomenų, vidine dokumentacijos sistema tik su skaitymo teisėmis arba atskiras pagalbinis įrankis, kurį vienas kūrėjas naudoja retai, vertinami kitaip nei paskyra su gamybos prieiga. Rūpestingumo pareiga reikalauja priemonių, atitinkančių rizikos lygį, o ne tokios pat sunkios apsaugos visur. Priežiūros institucijos tai vertina remiantis proporcingumu, o tai reiškia, kad pagrįsta pasirinkimo naudoti ne daugiafaktorinės patvirtinimo vietos dossiere dalis gali būti tiek pat dėl vietos, kur jis yra.
Šioje vietoje svarbiausias žodis yra pagrindimas. Pasirinkimas be paaiškinio greitai atrodo kaip praleistas klausimas, tuo tarpu tas pats pasirinkimas su trumpu paaiškinimo paprastai yra tikslus atsakymas, kurio ieško užsakovas.
Ką tai reiškia pokalbio su užsakovu metu
Užsakovas, siųsdamas klausimyną, paprastai nori sužinoti ne tai, ar atitinkate kiekvieną nuostatą, bet ar žinote, kur yra jūsų rizikos ir jas sąmoningai valdote. Daugiafaktorinio patvirtinimo atžvilgiu tai reiškia: parodyti, kas yra plėtojimo fazone, kas yra produkte ir kodėl likusi dalis yra sutvarkyta kitaip. Kas tai per sistemą užfiksavo su statusu ir savininku, neturės iš naujo ieškoti atsakymo į šį klausimą, kai kitą kartą ateis klausimynas.
Tai, ar ir kaip tai atsispindi jūsų organizacijoje, priklauso nuo jūsų vaidmens tiekimo grandinėje ir nuo to, ką jūsų klientai tiksliai klausia; jei abejojate, patartiname perskaityti pačią direktyvos tekstą arba pasitarti su patarėju. Jei norite pirmiausia sužinoti, kurioje vietoje esate, nemokama patikra iš kelių klausimų pateikia pirminę nuorodą, ir paaiškinimą, iš kur šaltinis kyla parodo, kaip sudaroma ta nuoroda.
Jei norite plačiau perskaityti, kaip šis klausimas susietos su kitomis rūpestingumo pareigas sudarančiomis priemonėmis, temų apžvalgą pagal situacijąten rasite atsakymą. Sparčioji peržiūra ir žinių bankas yra laisvai pasiekiami, nereikalaujant paskyros.