A többfaktoros hitelesítés (másként kétlépcsős hitelesítés vagy MFA) azt jelenti, hogy olyan dolgot használ, amit tud (jelszó), és olyan dolgot, amit birtokol (telefonon található kód, kulcs vagy alkalmazás). A NIS2 gondossági kötelezettség hatálya alá tartozó vagy beszállítóként biztonsági kérdőívet kapó szerelésipvállalatoknál ez az egyik leggyakrabban feltett kérdés: ezt mindenhol kötelezően alkalmazni kell, vagy csak bizonyos helyeken?
A rövid válasz: a gondossági kötelezettség nem írja elő a technológiát, hanem olyan intézkedéseket igényel, amelyek megfelelnek a kockázatnak. A távolról elérhető rendszerek (például e-mail, az ERP-rendszer, a VPN-kapcsolat vagy a tervezési és számlázási szoftver kezelőfelülete) esetében a többfaktoros hitelesítést általában alapvető intézkedésnek tekintik. Az épületekhez, kulcstarolóhoz vagy az ügyfélnél a helyszínen lévő rendszerekhez való hozzáférés esetében ez árnyaltabb, és számos szerelésipvállalatnál itt merül fel a gyakorlati kérdés.
Hol várják el általában a többfaktoros hitelesítést
Az indoklás magva egyszerű: minél távolabb van egy rendszer a saját irodájától, és minél érzékenyebbek az odamögötti adatok, annál erősebb védelemre van szükség. Egy szerelő, aki telefonjáról jelentkezik be a vállalati hálózatba, egy irodai munkatárs, aki otthonról érheti el az adminisztrációt, vagy egy vezető, aki távolról férhet hozzá a tervezéshez: ezek mind olyan pontok, ahol a jelszó egyedüli használata sebezhetően a phishing vagy a kiszivárgott bejelentkezési adatok újrafelhasználása ellen. A többfaktoros hitelesítés biztosítja, hogy egy ellopott jelszó egyedül nem elegendő a bejutáshoz.
Ugyanez vonatkozik a megemelkedett jogosultságokkal rendelkező fiókok esetére: a hálózat rendszergazdája, a felhőkörnyezet tulajdonosa, vagy az, aki számlákat jóváhagyhat. Ezek a fiókok a támadónak a legtöbbet érnek, és gyakran ezekre kérdeznek rá először egy megrendelő biztonsági kérdőívében. Aki szeretne többet megtudni arról, hogy ezek pontosan hogyan kerülnek be, azt egy oldal ismerteti, amely a szektorok szerinti kifejtést tartalmazza.
Hol árnyaltabb a helyzet: az ügyfélnél a helyszínen lévő rendszerek
A szerelésipvállalatok gyakran dolgoznak a helyszínen: az ügyfél otthonában, egy üzlethelyiségben vagy egy építési helyszínen. Olyan helyzetek merülnek fel, amelyek nem egyenesen vethetők össze az irodai munkával. Egy szerelő, aki az ügyfél épületkezelő rendszerébe kell bejelentkezzen, gyakran az ügyfél által kezelt bejelentkezési adatokat használja, nem a saját vállalkozásáét. Az a kérdés, hogy ki szabályozza a többfaktoros hitelesítést, és ki felügyeli azt, elsősorban az adott rendszer tulajdonosára tartozik, nem a szerelésipvállalatra, amely ideiglenesen hozzáféréssel rendelkezik.
Az üzemi furgonban megosztott felszerelés (például több szerelő által használt táblagép) szintén egy gyakorlati eset, ahol a szigorú MFA-követelmény ütközhet a terepen történő munkavégzés megvalósíthatóságával. Ez nem azt jelenti, hogy a biztonság elmarad, hanem hogy az alkalmazás más lehet: például rövid munkamenet-időtartam, szerelőnkénti külön fiók a megosztott fiók helyett, vagy az automatikusan a munka után lejáró hozzáférés. A felügyeleti hatóságok és megrendelők ebben az esetben elsősorban arra néznek, hogy történt-e tudatos értékelés, nem arra, hogy pontosan ugyanaz a technikai megoldás lett-e mindenhol alkalmazva.
A fizikai kulcsok és épületekhez való hozzáférés egyik oldalán, valamint a rendszerekhez való digitális hozzáférés másik oldalán való megkülönböztetés szintén olyan téma, amelyről szerelésipvállalatok gyakran kapnak kérdéseket. Aki ezt a témát szeretné szélesebben megvizsgálni, azt egy oldal ismerteti, amely az ágazatban a hozzáférés-kezelésről szóló kifejtést tartalmazza.
Mit jelent ez a megrendelővel való beszélgetésben
Egy biztonsági kérdőív gyakran egyszerű igen/nem kérdést tesz fel az MFA-ról, miközben a gyakorlat árnyaltabb. Segít, ha rendszemenként meg lehet mutatni, hol áll a többtényezős hitelesítés, miért azt választották ott, és hogyan kezelnek kivételeket. Pontosan erre ad értéket egy élő dokumentáció: nem csak egy pipajel egy intézkedés mellett, hanem egy bizonyíték és egy tulajdonos rendszemenként, így a kérdőívre adott válasz helyes és alátámasztott.
Az, hogy vállalatára vonatkozik-e a gondossági kötelezettség, az ellátási láncon keresztül van-e kitéve hatásnak, vagy egyik sem, néhány kérdéssel megtudható a az ingyenes ellenőrzésen keresztül, amely felméri helyzetetét. Aki pontosan szeretné tudni, hogyan szerzi meg információit a secria.eu és mely forrásokat használ, az magyarázat található a a platform működéséről szóló oldaltmeglátogatva. Valamint konkrét kérdésekre arról, hogy mi tartozik és mi nem a gondossági kötelezettség alá, van egy összefoglaló válaszokkal azokra a kérdésekre, amelyeket a telepítési vállalatok gyakran feltesznek.
A többtényezős hitelesítés nem cél önmagában, hanem az egyik építőelem egy olyan dokumentációban, amely megmutatja, hogy a rendszerekhez való hozzáférés átgondoltan van szabályozva. Saját vállalata helyzetéhez, saját rendszereivel és helyszíni munkamódszerével, továbbra is szükséges egy saját értékelés; az ismeretbázis és a gyorsértékelés segítik abban, hogy ezt az értékelést a megfelelő információkkal végezzék el.