Huwa obbligatorju li jkollok verifikazzjoni multipla (MFA) għal fornitur ta' servizz ICT? Risposta qasira m'hemm le, u dak eżattament għaliex il-mistoqsija din tirrikorri tant ta' spiss mal-awtoritajiet tal-kontroll, l-impegner u fil-listi ta' mistoqsija tas-sigurtà. Id-Direttiva NIS2 tisemmi l-awtentikazzjoni multipla jew l-awtentikazzjoni kontinwa b'mod espliċitu bħala eżempju ta' miżura li tappartjeni għall-obbligo tal-kura, iżda ma tukol fejn, għal min u f'liema mument din għandha tkun. Din l-ispefifikazzjoni tippetti lill-organizzazzjoni nnifisha, u dan tagħmel is-suġġett aktar diffiċli minn sempliċi iva jew le.
Dak li huwa ċar: hekk kif kont tal-email tagħti aċċess mid-distanza għal sistemi, data jew infrastruttura ta' kliyent, l-awtoritajiet tal-kontroll u l-impegners jittammanaw li hemm aktar minn sempliċi password. Dan japplika għall-persunal intern, għal subkontraturi u għall-aċċess temporaneu li jitneħħa wara proġett. Fejn din it-tistennija hija inqas qawwa, hija fl-aċċess intern ta' riskju baxx li m'huwiex aċċessibbli minn barra. Hemm il-konfini li dan l-artikolu jelabora aktar.
Għaliex il-MFA tirrikorri fi kważi kull lista ta' mistoqsija
Bħala fornitur ta' servizz ICT, int spiss il-parti li tloggja mill-istampa għal kliyent, titella' l-aġġornamenti jew tissolvi l-ħasar. Eżattament dik il-mogħdija tal-aċċess hija attraenti għal atacant: password wieħed imniżżel jista' jagħti aċċess għal ambjenti ta' kliyent multipli simultanjament. L-impegners li nnifishom jaqgħu taħt l-obbligo tal-kura jridu jevalwaw il-fornituri tagħhom, u l-verifikazzjoni multipla fuq aċċess mill-istampa hija minn l-ewwel affarijiet li jiġu staqsija. Min m'għandu risposta għan-nedda, jinnota li l-listi ta' mistoqsija jitwalu iżjed jew li kuntratt jaqgħa fuq hold.
fi ftit mistoqsija tara jekk l-organizzazzjoni tiegħek hija mdarba permezz tal-katina tal-provvista tagħti indikazzjoni inizjali ta' kif eċċessive dawk l-eżigjenzi jistgħu jissibu għandek. Għal fornitor ta' servizz MKB li jaħdem għal multipli kliyenti taħt obbligi, hija probabbli li l-istess mistoqsija tirrikorri ripetutament, biss f'formulazzjoni kemmxejn differenti.
Fejn il-MFA jittieqex b'mod strutturali
Tliet mogħdija ta' aċċess jiġu quddiem l-aktar ta' spiss fil-prattika bħala post fejn il-verifikazzjoni multipla għandha tkun. L-ewwel, amministrazzjoni mill-istampa: kull konnessjoni li permezz tagħha amministratur minn barra n-network jista' jasal għal sistema, inkluż aċċess VPN u konnessjonijiet desktop remot. It-tieni, aċċess għal sistemi ta' kliyent: konti li kkontejaw speċifikament biex tloggja għall-impegner, speċjalment meta dak l-aċċess tagħti drittijiet ta' amministratur. It-tielet, subkontraturi u partijiet esterni li jagħmlu xogħol f'ismo għall-impegner; l-aċċess tagħhom jaqgħa taħt l-istess tistennija, anki jekk is-subkontratt nnifsu m'huwiex direttament fil-lista ta' mistoqsija.
Fl-irqigħ ta' dawn it-tliet kategoriji, il-mudell huwa dejjem l-istess: iktar fejn jibgħad l-aċċess mill-network intern iffisiku maħmija, iktar il-qawwa tat-tistennija li pass ta' verifikazzjoni ta' tieni jkun preżent.
Fejn il-diskussjoni għadu miftuħa
Ġewwa network tal-uffiċċju intern, għal kont li jaħdem biss lokalment u mingħajr koppja esterna, il-ħtieġa ta' MFA hija inqas ċara. Dan ma jfissirx li m'huwiex importanti, biss li l-bilanċ hemm aktar dwar ir-riskju u l-proporzjonalità milli dwar norma stretta. L-istess nuanzi japplika għal konti funzjonali maqsuma li m'huma mqabbda ma' individwu: dawk jitolbu soluzzjoni differenti minn pass ta' tieni għal kull persuna, eż. bl-eliminazzjoni tal-kont nnifsu favur kredenzjali tal-accesso personali.
Hija din il-kategorija fejn l-organizzazzjonijiet l-aktar ta' spiss jigħallbu meta lista ta' mistoqsija tas-sigurtà ttifel: mhux il-każi ċari, iżda s-sistemi li jaqgħu xi ħaġa bejn nofs. aqra l-ispjegazzjoni għal kull sitwazzjoni tgħin biex tara fil-liema kategorija sistema speċifiku x-x'aktarx li jaqa', mingħajr l-ħtieġa li taqra l-intiera direttiva l-ewwel.
X'dan ifisser għad-dossier tiegħek
Għaz-zabbilità tal-kura, ma jħoqqx li MFA tkun issettjata biss, iżda wkoll li tkun provabbli: min ħadaq id-deċiżjoni, fuq liema sistemi hu mixgħul, u x'hu l-istatus tal-istemi fejn għadu nieqes. Dik hija eżattament it-tip ta' reġistrazzjoni li dossier ħaj huwa mitlub minflok azzjoni waħda. Meta tkun hemm dubju dwar kif wieħed għandu jivvaluta aċċess speċifiku, l-awtorita ta' sorveljanza jew avukat baqgħu l-partiti indikati biex jivvalutaw il-ħwejjeġ tiegħek; din l-ispiegazzjoni hija maħsuba biex tkun aqżi l-mistoqsija, mhux biex tirrimplazzaha.
Kuraġ taf kif dan is-suġġett jinqaleb fid-dossier tiegħek? aqra fejn il-misinformazzjoni fuq secria.eu ġejja minn tari kif ninnehdu l-fonti, u l-free NIS2-check jagħti stampa ewlenija ta' fejn int wieqaf f'ftit minuti.