Wieloetapowe uwierzytelnianie, zwane również uwierzytelnianiem dwuetapowym lub MFA, to logowanie się za pomocą czegoś, co znasz (hasło) i czegoś, co posiadasz (kod na telefonie, klucz lub aplikacja). Dla firm instalacyjnych podlegających obowiązkowi NIS2 lub otrzymujących kwestionariusz bezpieczeństwa jako dostawca, jest to jedno z najczęściej zadawanych pytań: czy jest to wymagane wszędzie, czy tylko w określonych miejscach?
Krótka odpowiedź: obowiązek nie przepisuje konkretnej technologii, ale wymaga środków dostosowanych do ryzyka. W przypadku systemów dostępnych zdalnie, takich jak poczta elektroniczna, system ERP, połączenie VPN czy panel zarządzania oprogramowaniem do planowania i fakturowania, wieloetapowe uwierzytelnianie jest zwykle uważane za środek podstawowy. W przypadku dostępu do budynku, szafki z kluczami lub systemu u klienta na miejscu sytuacja jest bardziej zniuansowana, a dla wielu firm instalacyjnych pojawia się tutaj praktyczne pytanie.
Gdzie wieloetapowe uwierzytelnianie jest zwykle oczekiwane
Logika jest prosta: im dalej system znajduje się od własnego biura i im wrażliwsze są dane za nim, tym silniejsza powinna być ochrona. Monter logujący się na sieć firmową ze swojego telefonu, pracownik biurowy mający dostęp do administracji z domu lub kierownik mogący zdalnie zarządzać planem: to wszystko są punkty, gdzie samo hasło jest podatne na phishing lub ponowne użycie wycieków. Wieloetapowe uwierzytelnianie powoduje, że skradzione hasło nie wystarczy do dostępu.
To samo dotyczy kont z podwyższonymi uprawnieniami: administrator sieci, właściciel środowiska chmurowego lub osoba mogąca zatwierdzać faktury. Te konta są dla atakującego najcenniejsze i są takie, które są najczęściej pytane w kwestionariuszu bezpieczeństwa od zamawiającego. Kto chce wiedzieć więcej na temat tego, co dokładnie tam się pojawia, znajdzie to na stronie dotyczącej zagadnień opracowanych dla każdej branży.
Gdzie sytuacja jest bardziej zniuansowana: systemy u klientów na miejscu
Firmy instalacyjne pracują często na miejscu: u klienta w domu, w obiekcie biznesowym lub na placu budowy. Pojawiają się tam sytuacje, które nie są bezpośrednio porównywalne z pracą biurową. Monter logujący się do systemu zarządzania budynkiem klienta zwykle używa danych dostępu zarządzanych przez samego klienta, a nie przez własne przedsiębiorstwo. Pytanie, kto tam reguluje wieloetapowe uwierzytelnianie i kto nad tym czuwa, leży przede wszystkim po stronie właściciela tego systemu, a nie firmy instalacyjnej, która ma do niego tymczasowy dostęp.
Wspólny sprzęt w busie firmowym, na przykład tablet używany przez kilku monterów, to praktyczny przypadek, w którym ścisły wymóg MFA może kolidować z praktycznością pracy na terenie. Nie oznacza to, że bezpieczeństwo tam zanika, ale że realizacja może być inna: na przykład krótko trwająca sesja, osobne konto dla każdego monterza zamiast konta wspólnego, lub dostęp, który automatycznie wygasa po pracy. Organy nadzoru i zamawiający zwracają uwagę przede wszystkim na to, czy przeprowadzono świadomą ocenę, a nie na to, czy dokładnie to samo rozwiązanie techniczne zostało zastosowane wszędzie.
Rozróżnienie między fizycznymi kluczami i dostępem do budynku z jednej strony a dostępem cyfrowym do systemów z drugiej to także kwestia, na temat której firmy instalacyjne często otrzymują pytania. Kto chce szerzej zbadać ten temat, znajdzie opracowanie na temat tego, kto może mieć dostęp w branży, na stronie dotyczącej zarządzania dostępem w branży.
Co to oznacza dla rozmowy z zamawiającym
Lista kontrolna bezpieczeństwa zwykle zadaje proste pytanie tak/nie dotyczące uwierzytelniania wieloskładnikowego, podczas gdy praktyka jest bardziej złożona. Pomaga móc wykazać dla każdego systemu, gdzie znajduje się weryfikacja wieloskładnikowa, dlaczego tam ją wybrano i jak postępuje się z wyjątkami. To właśnie daje wartość dokumentowi żyjącemu: nie tylko wybór przy miarze, ale dowód i właściciel dla każdego systemu, aby odpowiedź na listę kontrolną była poprawna i uzasadniona.
Czy Twoja firma podlega obowiązkowi opieki, jest dotknięta łańcuchem dostaw, czy żadne z tego, można ustalić za pomocą kilku pytań za pośrednictwem darmowej kontroli, która mapuje Twoją sytuację. Dla tych, którzy chcą dokładnie wiedzieć, jak secria.eu uzyskuje swoje informacje i które źródła są używane, wyjaśnienie znajduje się na stronie opisującej sposób działania platformy. A dla konkretnych pytań dotyczących tego, co wchodzi i co nie wchodzi w zakres obowiązku opieki, dostępny jest przegląd z odpowiedziami na pytania, które firmy instalacyjne często zadają.
Uwierzytelnianie wieloskładnikowe nie jest celem samym w sobie, ale jednym z elementów składowych dokumentu pokazującego, że dostęp do systemów jest przemyślanie regulowany. Dla sytuacji Twojego własnego przedsiębiorstwa, jego własnych systemów i sposobu pracy na terenie, niezbędna pozostaje osobna ocena; baza wiedzy i szybkie skanowanie pomagają dokonać tej oceny przy właściwych informacjach.