A autenticação multifator (MFA) é obrigatória para um prestador de serviços de TIC? Uma resposta breve não existe, e é precisamente por isso que esta pergunta surge tão frequentemente junto das autoridades de supervisão, dos contratantes e nas listas de verificação de segurança. A Diretiva NIS2 menciona explicitamente a autenticação multifator ou a autenticação contínua como exemplo de uma medida que faz parte da diligência devida, mas não prescreve em que sistema, para quem e em que momento isto deve ocorrer. Esta definição fica a cargo da própria organização, e isso torna o assunto mais complexo do que um simples sim ou não.
O que é claro: assim que uma conta fornece acesso remoto aos sistemas, dados ou infraestrutura de um cliente, as autoridades de supervisão e os contratantes esperam que haja mais do que apenas uma palavra-passe. Isto aplica-se ao pessoal próprio, aos subcontratados e ao acesso temporário que é revogado após um projeto. Onde esta expectativa é menos rigorosa é no acesso interno de baixo risco que não é acessível externamente. É nessa fronteira que este artigo aprofunda a análise.
Por que a MFA aparece em quase todas as listas de verificação
Como prestador de serviços de TIC, você é frequentemente a parte que acede remotamente a um cliente, executa atualizações ou resolve incidentes. Este caminho de acesso é precisamente o que atrai um atacante: uma palavra-passe roubada pode conceder acesso a múltiplos ambientes de clientes simultaneamente. Os contratantes que estão sujeitos à diligência devida têm de avaliar os seus fornecedores, e a autenticação multifator no acesso remoto é uma das primeiras coisas que é solicitada. Quem não tem uma resposta para isto, constata que as listas de verificação demoram mais ou que um contrato fica em suspenso.
numa série de perguntas, ver se a sua organização é afetada pela cadeia de fornecimento fornece uma primeira indicação de como este tipo de requisitos podem afetar a sua organização. Para um prestador de serviços PME que trabalha para vários clientes sujeitos à diligência devida, é provável que a mesma pergunta surja repetidamente, apenas com formulações ligeiramente diferentes.
Onde a MFA é estruturalmente esperada
Três caminhos de acesso surgem mais frequentemente na prática como locais onde a autenticação multifator deve estar presente. Em primeiro lugar, a administração remota: todas as ligações através das quais um administrador pode aceder a um sistema a partir de fora da rede, incluindo acesso VPN e ligações de ambiente de trabalho remoto. Em segundo lugar, o acesso aos sistemas dos clientes: contas criadas especificamente para aceder a um contratante, especialmente quando esse acesso concede direitos administrativos. Em terceiro lugar, os subcontratados e partes externas que executam trabalho em seu nome junto de um cliente; o seu acesso está sujeito à mesma expectativa, mesmo que o subcontratado não apareça diretamente na lista de verificação.
Para estas três categorias, o padrão é sempre o mesmo: quanto mais distante o acesso está da rede própria e fisicamente protegida, mais forte é a expectativa de que existe um segundo passo de verificação.
Onde o debate ainda está aberto
Dentro de uma rede de escritório própria, para uma conta que funciona apenas localmente e sem ligação externa, a necessidade de MFA é menos inequívoca. Isto não significa que seja irrelevante, mas sim que a avaliação é mais sobre risco e proporcionalidade do que sobre uma norma rígida. A mesma nuance aplica-se às contas funcionais partilhadas que não estão vinculadas a um indivíduo: estas exigem uma solução diferente de um segundo passo por pessoa, por exemplo, eliminando a conta em favor de credenciais pessoais.
É nesta categoria que as organizações mais lutam quando uma lista de verificação de segurança chega: não os casos óbvios, mas os sistemas que se encontram algures no meio. ler a explicação por situação ajuda a ver em que categoria um sistema específico provavelmente se enquadra, sem que tenha de ler toda a diretiva primeiro.
O que isto significa para o seu próprio dossiê
Para o dever de cuidado, não conta apenas se MFA está configurado, mas também se isso é comprovável: quem tomou a decisão, em que sistemas está ativado, e qual é o estado dos sistemas onde ainda falta. É exatamente este tipo de registo que um dossiê vivo requer em vez de uma ação única. Em caso de dúvida sobre como avaliar rigorosamente um acesso específico, a autoridade de supervisão ou um jurista continua a ser a parte apropriada para o fazer na sua situação; esta explicação destina-se a tornar a questão mais precisa, não a substituí-la.
Curioso para saber como este tema se integra no seu próprio dossiê? ler de onde provêm as informações em secria.eu mostra como mantemos as fontes e a verificação NIS2 gratuita dá uma primeira visão em poucos minutos de onde se encontra.