Czy uwierzytelnianie wieloetapowe (MFA) jest obowiązkowe dla dostawcy usług ICT? Krótka odpowiedź nie istnieje, i to jest dokładnie powód, dla którego to pytanie pojawia się tak często u organów nadzoru, zleceniodawców i w listach bezpieczeństwa. Dyrektywa NIS2 wymieniła uwierzytelnianie wieloetapowe lub ciągłe uwierzytelnianie jako wyraźny przykład działania, które jest częścią obowiązku ochrony, ale nie określa, w którym systemie, dla kogo i w jakim momencie powinno to mieć miejsce. To uzupełnienie leży po stronie samej organizacji, co czyni ten temat trudniejszym niż proste tak lub nie.
Co jest jasne: gdy tylko konto daje dostęp zdalny do systemów, danych lub infrastruktury klienta, organy nadzoru i zleceniodawcy oczekują czegoś więcej niż samego hasła. Dotyczy to pracowników własnych, podwykonawców i dostępu tymczasowego, który zostaje wycofany po zakończeniu projektu. Tam, gdzie to oczekiwanie jest mniej mocne, jest dostęp wewnętrzny, niskiego ryzyka, który nie jest dostępny z zewnątrz. To jest granica, którą artykuł ten dalej rozwijał.
Dlaczego MFA pojawia się w prawie każdej liście
Jako dostawca usług ICT jesteś często stroną, która loguje się zdalnie dla klienta, wykonuje aktualizacje lub rozwiązuje problemy. Dokładnie ta droga dostępu jest atrakcyjna dla atakującego: jedno skradzione hasło może wówczas dać dostęp do wielu środowisk klienta jednocześnie. Zleceniodawcy, którzy sami podlegają obowiązkowi ochrony, muszą oceniać swoich dostawców, a uwierzytelnianie wieloetapowe dla dostępu zdalnego jest jedną z pierwszych rzeczy, o które się pyta. Kto nie ma tu odpowiedzi, zauważa, że listy trwają dłużej lub że umowa jest wstrzymywana.
w kilka pytań sprawdzić, czy organizacja dotknięta jest łańcuchem dostaw daje pierwszą wskazówkę, jak poważne tego rodzaju wymogi mogą na ciebie paść. Dla dostawcy usług MŚP pracującego dla wielu klientów podlegających obowiązkowi, istnieje duże prawdopodobieństwo, że to samo pytanie pojawia się wielokrotnie, tylko w nieco innym sformułowaniu.
Gdzie MFA jest strukturalnie oczekiwane
Trzy drogi dostępu pojawiają się w praktyce najczęściej jako miejsce, gdzie powinno znajdować się uwierzytelnianie wieloetapowe. Po pierwsze zarządzanie zdalne: każde połączenie, dzięki któremu administrator z poza sieci może uzyskać dostęp do systemu, łącznie z dostępem VPN i połączeniami pulpitu zdalnego. Po drugie dostęp do systemów klienta: konta specjalnie utworzone do logowania się u zleceniodawcy, zwłaszcza gdy ten dostęp daje uprawnienia administratora. Po trzecie podwykonawcy i strony zewnętrzne wykonujące pracę w imieniu Ciebie u klienta; ich dostęp podlega temu samemu oczekiwaniu, nawet jeśli podwykonawca sam nie pojawia się bezpośrednio na liście.
W przypadku tych trzech kategorii wzór jest zawsze ten sam: im dalej dostęp znajduje się od własnej, fizycznie odizolowanej sieci, tym silniejsze oczekiwanie, że obecny jest drugi etap weryfikacji.
Gdzie dyskusja wciąż jest otwarta
W ramach własnej sieci biurowej, dla konta, które działa tylko lokalnie i bez zewnętrznych powiązań, konieczność MFA jest mniej jednoznaczna. To nie oznacza, że jest nieważne, ale że ocena tam jest bardziej kwestią ryzyka i proporcjonalności niż twardej normy. Ta sama subtelność dotyczy współdzielonych kont funkcjonalnych, które nie są przypisane do jednostki: wymagają one innego rozwiązania niż drugi krok na osobę, na przykład poprzez całkowite wyeliminowanie konta na rzecz danych logowania osobistych.
To jest kategoria, z którą organizacje zmagają się najczęściej, gdy przychodzi lista bezpieczeństwa: nie jasne przypadki, ale systemy, które gdzieś pośrodku się znajdują. przeczytać wyjaśnienie dla każdej sytuacji pomaga zobaczyć, do której kategorii konkretny system prawdopodobnie należy, bez konieczności wcześniejszego czytania całej dyrektywy.
Co to oznacza dla własnego dossier
Dla obowiązku ochrony nie liczy się tylko to, czy uwierzytelnianie wieloskładnikowe jest wdrożone, ale także czy jest to udokumentowane: kto podjął decyzję, na jakich systemach jest włączone i jaki jest status systemów, na których jeszcze go brakuje. To dokładnie rodzaj dokumentacji, który wymaga żywego dossier zamiast jednorazowego działania. W przypadku wątpliwości dotyczących tego, jak ściśle powinna być oceniana określona dostęp, organ nadzoru lub prawnik pozostają właściwymi stronami, aby ocenić to dla Twojej sytuacji; niniejsze wyjaśnienie ma na celu wyjaśnić pytanie, a nie je zastąpić.
Ciekaw, jak ten temat trafi do Twojego własnego dossier? przeczytaj, skąd pochodzą informacje na secria.eu pokazuje, jak my prowadzimy ewidencję źródeł, a bezpłatna NIS2-check daje w ciągu kilku minut wstępny obraz Twojej sytuacji.