Weryfikacja wieloetapowa — często skracana do MFA, dodatkowa kontrola obok hasła, na przykład kod na telefonie — nie jest wymieniona wprost jako wymóg w dyrektywie NIS2 ani w Ustawie o cyberbezpieczeństwie. To, co rzeczywiście zawarte jest w obowiązku staranności z artykułu 21, to wymóg, aby organizacje podejmowały odpowiednie środki techniczne i organizacyjne, w tym do zabezpieczenia dostępu. W przypadku większości systemów biurowych, aplikacji chmurowych i dostępu zdalnego w przemyśle metali i wytwórczości oznacza to w praktyce prawie zawsze: tak, weryfikacja wieloetapowa powinna być wdrożona. Dla maszyn i systemów sterowania na hali produkcyjnej sytuacja jest bardziej złożona i w tym artykule rozwijamy ten temat szerzej.
Różnica polega na tym, co system techniczny jest w stanie zrobić i jakie ryzyko niesie brak hasła. Portal logowania dla pracy zdalnej lub administracja w chmurze prawie zawsze mogą obsługiwać dodatkowy krok weryfikacji. Dwudziestoletnia konsola PLC na hali produkcyjnej często nie, wtedy pytanie zmienia się z "MFA czy nie" na "jaki inny środek to kompensuje".
Co obowiązek staranności od Ciebie wymaga
Obowiązek staranności nie zawiera stałej listy produktów ani marek. Organy nadzoru i sama dyrektywa mówią o środkach odpowiadających ryzykom, stanowi techniki i kosztom wdrożenia. Zabezpieczenie dostępu to jeden z powtarzających się tematów: kto może gdzie wejść, jak to jest kontrolowane i co się dzieje, jeśli hasło zostanie skradzione lub zgadnięte. Weryfikacja wieloetapowa jest dziś jednym z najbardziej rozpowszechnionych sposobów na udzielenie odpowiedzi na to pytanie i dlatego pojawia się niemal w każdej realizacji tego środka, którą napotykamy — także u organów nadzoru w innych krajach członkowskich. Jak dokładnie zostało to wdrożone w Twoim kraju i jakie dodatkowe wyjaśnienia daje organ nadzoru, możesz sprawdzić poprzez przejrzenie realizacji każdego tematu.
Gdzie weryfikacja wieloetapowa zwykle jest oczekiwana
W przedsiębiorstwie zajmującym się metalem lub produkcją miejsca, gdzie jest to najbardziej wskazane, są zwykle takie same: dostęp do środowiska chmurowego i administracji, skrzynka odbiorcza pracowników, dostęp zdalny przez VPN dla pracujących na odległość, a przede wszystkim konta z prawami administracyjnymi — administrator IT, administrator systemu pakietu ERP, osoba mająca dostęp do kopii zapasowych. Właśnie te konta administracyjne są atrakcyjne dla atakujących, ponieważ jedno skradzione hasło daje natychmiast dostęp do znacznie więcej niż jednej skrzynki pocztowej. Zleceniodawcy wysyłający kwestionariusz bezpieczeństwa prawie zawsze pytają o to wprost, a pusta odpowiedź na to pytanie zwykle trudniej się uzasadnia niż szczera "jeszcze nie wszędzie, z tym harmonogramem".
Gdzie systemy produkcyjne wymagają innego podejścia
Hala produkcyjna to inna historia. Maszyna CNC, system SCADA czy PLC, które funkcjonują przez dziesięciolecia, często nie zostały zaprojektowane z ekranem logowania, który obsługuje drugi krok weryfikacji. Tu obowiązek staranności nie zastępuje niemożliwego wymogiem, ale zwraca uwagę na inne, dodatkowe środki: odizolowanie systemu w osobnym segmencie sieci, ograniczenie fizycznego dostępu do pomieszczenia obsługi i dobra dokumentacja, kto, kiedy i do której maszyny miał dostęp. Segmentacja — oddzielenie sieci produkcyjnej od sieci biurowej — jest w takich przypadkach często środkiem, który wypełnia lukę pozostawioną przez weryfikację wieloetapową w innych miejscach. Jeśli maszyna jest podłączona do sieci firmowej, na przykład do zdalnego monitorowania lub aktualizacji oprogramowania, to samo połączenie stanowi ryzyko wymagające uwagi, choć to nic nie zmienia w technice samej maszyny.
Jak rozróżnić to praktycznie
Użytecznym pierwszym krokiem jest przegląd wszystkich systemów umożliwiających dostęp do danych biznesowych lub procesów produkcyjnych, z pytaniem dla każdego systemu: czy może to technicznie obsługiwać uwierzytelnianie wieloskładnikowe, a jeśli nie, co robimy w zamian. Ten przegląd to dokładnie miejsce, gdzie żywy dossier dowodzi swoją wartość, ponieważ jedna odpowiedź z dzisiaj może zmienić się z powodu aktualizacji oprogramowania jutro. Niezależnie od tego, czy Twoja organizacja sama podlega obowiązkowi ryzyka, czy też otrzymujesz to pytanie, ponieważ zamówienie od Ciebie tego wymaga, w pięciu pytaniach pokazuje, gdzie się znajdujeszJeśli wciąż masz wątpliwości dotyczące pojęć takich jak segmentacja lub konto zarządzania, tutaj również dostępne są odpowiedzi na często zadawane pytania gotowe.
Uwierzytelnianie wieloskładnikowe to zatem nie haczyk wyglądający wszędzie tak samo, ale środek, który dla każdego systemu ma inną implementację. W przypadku Twojej konkretnej sytuacji i kwestii tego, czy konkretny wyjątek dla Twoich maszyn jest uzasadniony wobec zamawiającego lub organu nadzoru, porada prawna lub konsultacja z organem nadzoru pozostają właściwą drogą — secria.eu opisuje, co ma zastosowanie, i pomaga to udokumentować, ale nie wydaje opinii o Twojej indywidualnej sytuacji.
Czy chcesz zobaczyć ten przegląd dla Twojego własnego przedsiębiorstwa, łącznie z systemami, które u Ciebie są i nie są brane pod uwagę? Przeprowadź bezpłatny szybki przegląd lub przeczytaj najpierw tematy.