Vairākkārtēja verifikācija, bieži saukta par MFA, ir papildu pārbaude virs paroles: kods no aplikācijas, SMS vai fiziska atslēga. Jautājums par to, vai tas ir obligāts programmatūras uzņēmumam, nav iespējams atbildēt ar vienkāršu jā vai nē, jo NIS2 direktīva neprecizē konkrētu tehniku. 21. pants obligā organizācijas, uz kurām attiecas pienākums veikt piesardzības pasākumus, veikt atbilstošus piekļuves drošības un vairākkārtējās autentifikācijas pasākumus, un uzraudzības iestādes šajā gadījumā skatās uz vietu, kur risks ir visaugstākais.
Programmatūras uzņēmumam praksē tas ir divas pavisam atšķirīgas vietas: izstrādes vide, kurā jūs paši strādājat, un programmatūra, ko jūs piegādājat klientiem. Abas prasa atsevišķu novērtējumu, un šis novērtējums nav vienādi strikts visur.
Divas vietas, kur vairākkārtēja verifikācija ir svarīga
Pirmā vieta ir iekšējā: vide, kurā jūsu izstrādātāji strādā. Pirmkods, izstrādes vide, mākoņa konsoles un sistēmas, ar kurām jūs izvietojat ražošanu. Otrā vieta ir pašā produktā: ja jūsu veidotā vai piegādātā programmatūra ir pieteikšanās ekrāns, vairākkārtējā verifikācija ir arī tur svarīga, gan jūsu paša lietotājiem, gan jūsu klienta galalietotājiem. Drošības jautājumu anketa no pasūtītāja gandrīz vienmēr vaicā par abiem, bieži vien atsevišķos jautājumos, kas ir formulēti nedaudz citādi, nekā jūs gaidītu.
Pie piekļuves jūsu izstrādes videi
Šeit ir spēcīgākā cerība. Kurš var piekļūt pirmkoda, kurš var ievietot ražošanu, un kurš ir administratora tiesības mākoņa vidē, veido lielāko risku, ja parole tiek tikai nozagta vai atkārtoti izmantota. Šiem kontiem vairākkārtējā verifikācija praktiski visā drošības ietvarā tiek uzskatīta par pamatpasākumu, un tas ir arī tas, ko uzraudzības iestādes un klienti pirmkārt sagaida. Versiju kontrole, izstrādes vide un īpaši katrs konts ar tiesībām ievietot kodu ražošanā, praktiski vienmēr jāaizsargā ar otru soli.
Tam jāpievieno arī ieskats par to, kurš šī piekļuve patiesībā vēl ir nepieciešama. Fails, kurā norādīts, kurš var piekļūt katrai sistēmai un kāpēc, ļauj vienkāršāk atbildēt uz šo jautājumu anketu ar konkrētu atbildi, nevis ar pieņēmumu. kā piekļuves kontrole un vairākkārtējā verifikācija tiek skaidrota katram aspektam ir labs sākumpunkts.
Programmatūra, ko jūs piegādājat
Otrais lauks ir pati programmatūra. Ja jūsu produktam ir pieteikšanās funkcija, jautājums par to, vai jūs piedāvājat vairākkārtēju verifikāciju, praktiski vienmēr parādās drošības jautājumu anketā, un dažkārt pat kā līguma prasība. Tas ir cits novērtējums nekā jūsu paša izstrādes videi: šeit tas nav par to, ko jūs paši izmantojat, bet gan par to, ko jūs piegādājat savam klientam. Pasūtītājs, kurš pats ietilpst pienākuma veikt piesardzības pasākumus darbības jomā, saskaņā ar 21. pantu jānovērtē arī viņa piegādes ķēde, un jautājums par to, vai jūsu produkts atbalsta stipru autentifikāciju, tam atbilst.
Atbildei nav jābūt tam, ka tā ir obligāta visur. Bieži vien pietiek parādīt, ka šāda iespēja pastāv, ka lietotāji tiek mudinājumi to izmantot, un ka jums ir plāns to paplašināt tur, kur risks to attaisno.
Vietas, kur tas ir mazāk pašsaprotams
Ne katrs konts vai vide prasa vienādu stingrību. Testēšanas vide bez reāliem klientu datiem, iekšēja dokumentācijas sistēma tikai ar lasīšanas tiesībām vai atsevišķs rīks, ko viens izstrādātājs reizēm lieto, ir atšķirīgi nekā konts ar ražošanas piekļuvi. Aprūpes pienākums prasa pasākumus, kas atbilst riskiem, nevis viendabīgu smagu slāni visur. Uzraudzības iestādes to novērtē, pamatojoties uz proporcionalitāti, un tas nozīmē, ka pamatota izvēle nekur nepielietot daudzveidīgu verifikāciju var būt tikpat laba dossiera daļa kā vietas, kur tā ir.
Pamatojums ir šeit svarīgākais vārds. Izvēle bez paskaidrojuma anketas rindā bieži izskatās pēc izlaides, savukārt tā pati izvēle ar īsu iemeslu bieži ir tieši atbilde, kuru meklē pasūtītājs.
Ko tas nozīmē sarunai ar pasūtītāju
Pasūtītājs, kas sūta anketu, parasti vēlas zināt nevis, vai jūs izpildāt katru burtu, bet vai jūs zināt, kur atrodas jūsu riski un apzinīgi ar tiem rīkojaties. Daudzveidīgai verifikācijai tas nozīmē: varēt parādīt, kas atrodas izstrādes joslā, kas atrodas produktā un kāpēc pārējā daļa ir kārtota savādāk. Ja tas ir uz katru sistēmu dokumentēts ar stāvokli un atbildīgo personu, nav jāmeklē atbilde no jauna, kad nākamā anketa ierodas.
Tas, vai un kā tas konkrēti attiecas uz jūsu organizāciju, ir atkarīgs no jūsu lomas piegādes ķēdē un no tā, ko jūsu klienti konkrēti prasa; šaubos konsultējieties ar pašu direktīvu tekstu vai padomdevēju. Vēlaties vispirms uzzināt, kur jūs stāvat, tad bezmaksas pārbaude pāris jautājumos sniedz pirmo norādi, un paskaidrojums par to, no kurienes nāk informācija parāda, kā šī norāde rodas.
Vēlaties plašāk lasīt, kā šis temats saistās ar citiem aprūpes pienākuma pasākumiem, tad to atradīsiet tēmu apskats pēc situācijas. Ātrgaitas skenēšana un zināšanu banka ir brīvi pieejamas, bez nepieciešamības izveidot kontu.