Vai vairākkārtēja verificēšana (MFA) ir obligāta IKT pakalpojumu sniedzējam? Īsa atbilde nepastāv, un tieši tāpēc šis jautājums tik bieži atgriežas pie uzraudzības iestādēm, pasūtītājiem un drošības jautājumos. NIS2 direktīvā vairākkārtēja autentifikācija vai nepārtraukta autentifikācija ir skaidri minēta kā aprūpes pienākuma mēru piemērs, taču netiek norādīts, uz kuru sistēmu, kuriem lietotājiem un kurā brīdī tas ir jāpiemēro. Šo konkretizāciju veic pati organizācija, un tas padara tēmu sarežģītāku nekā vienkāršu jā vai nē.
Tas ir skaidrs: tiklīdz konts nodrošina attālu piekļuvi klients sistēmām, datiem vai infrastruktūrai, uzraudzības iestādes un pasūtītāji sagaida, ka ir vairāk nekā tikai parole. Tas attiecas uz pašu personālu, apakšuzņēmējiem un pagaidu piekļuvi, kas pēc projekta pabeigšanas tiek atsaukta. Kur šī cerība nav tik spēcīga, ir iekšējā, zema riska piekļuve, kas nav sasniedzama no ārpuses. Šī ir robeža, ko šajā rakstā tālāk analizējam.
Kāpēc MFA parādās gandrīz katrā jautājumā
Kā IKT pakalpojumu sniedzējs jūs bieži esat puse, kas klients attālināti piesakās, veic atjauninājumus vai labo kļūmes. Tieši šis piekļuves ceļš ir pievilcīgs uzbrucējam: viena nozaudēta parole var tūlīt nodrošināt piekļuvi vairākiem klients apkārtiem. Pasūtītāji, kas paši pakļauti aprūpes pienākumam, ir jānovērtē saviem piegādātājiem, un vairākkārtēja verificēšana attāla piekļuves laikā ir viena no pirmajām lietām, kas tiek jautāta. Ja jums nav atbildes, pamanīsit, ka jautājumi ilgst ilgāk vai līgums tiek apturēts.
neilgi jautājumos redzēt, vai jūsu organizācija caur piegādes ķēdi tiek skarta sniedz pirmās norādes, cik smagi šādi pienākumi varētu jūs krist. MKB pakalpojumu sniedzējam, kas strādā vairākiem pienākuma paklautajiem klientiem, ir liela iespējamība, ka tie paši jautājumi atgriežas atkārtoti, tikai ar nedaudz citādu formulējumu.
Kur MFA ir sistemātiski sagaidāma
Trīs piekļuves ceļi praktiskajā darbībā visbiežāk parādās vietā, kur vairākkārtēja verificēšana ir jābūt. Pirmkārt, attālās administrēšanas: katra savienojums, ar kuru administrators no ārpuses var piekļūt sistēmai, ieskaitant VPN piekļuvi un attālā darbvirsmas savienojumus. Otrkārt, piekļuve klients sistēmām: konti, kas būtu speciāli izveidoti piesakīšanās pasūtītājam, jo īpaši, ja šī piekļuve dod administratora tiesības. Treškārt, apakšuzņēmēji un ārējās puses, kas jūsu vārdā veic darbu pie klienta; viņu piekļuve ietilpst tās pašas cerības ietvaros, kaut arī apakšuzņēmējs pats nav tiešā jautājumā.
Šajās trīs kategorijās modelis vienmēr ir vienāds: jo tālāk piekļuve ir attālināta no saviem, fiziski pasargātiem tīkla resursiem, jo spēcīgāka ir cerība uz otro verificēšanas soli.
Kur diskusija joprojām ir atklāta
Savā birojs tīklā, kontam, kas darbojas tikai lokāli un bez ārējiem savienojumiem, MFA nepieciešamība ir mazāk skaidra. Tas nenozīmē, ka tas nav svarīgi, bet drīzāk to, ka svērtie faktori šeit ir vairāk par risku un proporcionalitāti nekā par stingru normu. Tāda pati nianšu jūta attiecas uz kopīgiem funkcionālajiem kontiem, kas nav piesaistīti atsevišķam indivīdam: tie prasa citu risinājumu nekā otrs solis per cilvēkam, piemēram, konta pavisam izslēgšanu labākajām personīgajām piesakīšanās akreditācijām.
Šī ir kategorija, ar kuru organizācijas visbiežāk cīnās, kad tiek saņemts drošības jautājums: ne skaidrais gadījumi, bet sistēmas, kas mājās kaut kur starpā. izpratni par katru situāciju caur lasīšanu palīdz redzēt, kādā kategorijā iespējams ietilpst konkrētā sistēma, bez nepieciešamības vispirms lasīt visu direktīvu.
Ko tas nozīmē jūsu dossiejam
Pienāces pienākuma gadījumā svarīgi ir ne tikai tas, vai autentifikācijas faktori ir ieviesti, bet arī tas, vai to var pierādīt: kas pieņēma lēmumu, uz kurām sistēmām tas ir aktivizēts un kāds ir sistēmu statuss, kurās tas vēl nav ieviests. Tas ir tieši tāds veids, kā dokumentēt nepieciešams aktīvajam dossijem, nevis vienkārtējai darbībai. Ja neesat pārliecināti par konkrēta piekļuves stingrajiem kritērijiem, uzraudzības institūcija vai juriskonsults ir piemērotā puse, lai to novērtētu jūsu situācijai; šis skaidrojums ir paredzēts, lai padarītu jautājumu skaidrāku, nevis to aizstātu.
Vai vēlaties uzzināt, kā šī tēma tiek iekļauta jūsu dossiejā? lasiet, no kurienes secria.eu iegūst informāciju parāda, kā mēs pārvaldām avotus, un bezmaksas NIS2-pārbaude dažu minūšu laikā sniedz pirmo priekšstatu par jūsu stāvokli.