Vairākfaktoru autentifikācija — bieži saīsināta kā MFA, papildu pārbaude papildus parolei, piemēram, kods mobilajā tālrunī — nav skaidri norādīta kā obligāta prasība NIS2 direktīvā vai Kibernozīmības likumā. Tas, kas tiešām ir noteikts aprūpes pienākuma 21. pantā, ir tas, ka organizācijas veic atbilstošus tehniskos un organizatoriskos pasākumus, tostarp piekļuves kontrolei. Lielākajai daļai biroja sistēmu, mākoņprogrammu un ārējās piekļuves metālapstrādes un ražošanas nozarē tas praksē gandrīz vienmēr nozīmē: jā, vairākfaktoru autentifikācija ir daļa no tā. Ražošanas iekārtu un vadības sistēmu gadījumā darbnīcā situācija ir jautrāka, un šis raksts to tālāk aplūko.
Atšķirība ir tajā, kas tehniski var darīt sistēma un kāds ir risks, ja tikai parole nav pietiekama. Pieteikšanās portāls attāldarbam vai mākoņ administratīvai sistēmai gandrīz vienmēr var pievienot papildu verifikācijas soli. Divdesmit gadus veca PLC konsole ražošanas darbnīcā bieži nē, un tad jautājums pārvirzās no "vai MFA" uz "kāds cits pasākums to kompensē".
Ko aprūpes pienākums no jums sagaida
Aprūpes pienākums nesniedz fiksētu produktu vai preču zīmju sarakstu. Pārraudzības iestādes un pati direktīva runā par pasākumiem, kas atbilst riskiem, tehnikas stāvoklim un ieviešanas izmaksām. Piekļuves kontrole ir viens no atkārtotajiem tematiem: kurš drīkst kur piekļūt, kā tas tiek kontrolēts, un kas notiek, ja parole tiek nozagta vai uzminēta. Vairākfaktoru autentifikācija pašlaik ir viens no visbiežākajiem veidiem, kā atbildēt uz šo jautājumu, un tāpēc parādās gandrīz katras šā pasākuma izstrādes tekstā, ko mēs esam redzējuši — arī citu dalībvalstu pārraudzības iestādēs. Kā tas ir konkrēti realizēts jūsu valstī un kāds papildinformācija pārraudzības iestādes iesniedz, varat skatīt vietnē pārbaude pa tēmām.
Kur vairākfaktoru autentifikācija parasti ir obligāta
Metālapstrādes uzņēmumā vai ražošanas uzņēmumā vietas, kur tas ir vispiemērotākais, bieži ir vienādas: piekļuve mākoņvietai un administratīvajiem resursiem, darbinieku e-pastam, ārējā piekļuve VPN, kas paredzēta tiem, kas strādā attālināti, un pirmkārt — konti ar administratora tiesībām — IT pārvaldnieks, ERP paketes sistēmas pārvaldnieks, tas, kurš var piekļūt dublējumkopijām. Tieši tie administratora konti ir pievilcīgi uzbrucējam, jo viena nozagta parole dod piekļuvi daudz vairāk nekā viens pastkastīts. Pasūtītāji, kas sūta drošības anketu, gandrīz vienmēr tiešā veidā par to jautā, un tukša atbilde uz šo jautājumu parasti ir grūtāka izskaidrot nekā godīgs "vēl ne visur, ar šādu grafiku".
Kur ražošanas sistēmas prasa citu pieeju
Darbnīca ir cits stāsts. CNC mašīna, SCADA sistēma vai PLC, kas pastāv desmitiem gadus, bieži nav projektēta ar pieteikšanās ekrānu, kas atbalstītu otro verifikācijas soli. Šeit aprūpes pienākums neaizstāj neiespējamo ar obligātu prasību, bet novirza uzmanību uz citiem, papildinošiem pasākumiem: sistēmu izolēt atsevišķā tīkla segmentā, fizisko piekļuvi apkopes telpai ierobežot, un labi dokumentēt, kurš un kad varēja piekļūt katrai iekārtai. Segmentācija — ražošanas tīkla izolēšana no ofisa tīkla — šajos gadījumos bieži ir pasākums, kas aizpilda tukšumu, ko vairākfaktoru autentifikācija aizver citur. Ja mašīna ir pieslēgta uzņēmuma tīklam, piemēram, attālinātu monitoringu vai programmatūras atjauninājumu nolūkos, tā pati savienojums ir risks, kas prasa uzmanību, lai arī tas neko nemaina iekārtas tehnikā.
Kā jūs šo atšķirību praksē izveidojat
Noderīgs pirmais solis ir visu sistēmu pārskats, kas dod piekļuvi uzņēmuma datiem vai ražošanas procesiem, un jautājums par katru sistēmu: vai tā tehniski spēj nodrošināt vairāku faktoru autentifikāciju, un ja nē, kādu risinājumu mēs tā vietā ieviešam. Šis pārskats ir tieši vieta, kur dzīvs dossiers pierāda savu vērtību, jo šodienas atbilde var mainīties rīta programmaparatūras atjauninājuma dēļ. Neatkarīgi no tā, vai jūsu organizācija pati atbilst piesardzības pienākumam vai saņemat šo jautājumu, jo to prasa jūsu klient, jūs varat piecus jautājumus skatīts, kur jūs stāvatšaubāties par tādiem jēdzieniem kā segmentācija vai pārvaldības konts, šeit ir pieejamas atbildes uz bieži uzdotajiem jautājumiem .
Vairāku faktoru autentifikācija tāpēc nav atzīme, kas visvietā izskatās vienādi, bet drīzāk pasākums, kas katrā sistēmā iegūst atšķirīgu formu. Jūsu konkrētajai situācijai un jautājumam, vai konkrēts izņēmums jūsu iekārtām ir pamatojams pret klientu vai uzraudzības iestādi, juridisks padoms vai kontakts ar uzraudzības iestādi joprojām ir pareizais ceļš — secria.eu apraksta, kas ir attiecināms, un palīdz to fiksēt, bet nepieņem spriedumus par jūsu individuālo situāciju.
Vai vēlaties šo pārskatu parādīt savai uzņēmumā, tostarp sistēmas, kas pie jums ir vai nav piemērotas? Veiciet bezmaksas ātro skenēšanu vai vispirms izlasiet tēmas.