Autenticação multifatorial, também chamada de autenticação de dois fatores ou MFA, é fazer login com algo que você sabe (uma senha) e algo que você tem (um código no seu telefone, uma chave ou um aplicativo). Para empresas de instalação que se enquadram na obrigação de cuidado da NIS2 ou que recebem uma lista de verificação de segurança como fornecedor, esta é uma das questões mais frequentes: é necessário em toda parte ou apenas em determinados locais?
A resposta breve: a obrigação de cuidado não prescreve tecnologia específica, mas exige medidas que se adaptem ao risco. Para sistemas acessíveis remotamente, como e-mail, seu sistema ERP, a conexão VPN ou o painel de controle de seu software de planejamento e faturamento, a autenticação multifatorial é geralmente considerada uma medida básica. Para acesso a um edifício, um armário com chaves ou um sistema num cliente no local, a situação é mais nuançada, e é aí que surge a questão prática para muitas empresas de instalação.
Onde a autenticação multifatorial é geralmente esperada
O raciocínio central é simples: quanto mais distante um sistema está de seu próprio escritório e quanto mais sensíveis os dados por trás dele, mais forte deve ser a proteção correspondente. Um instalador que faz login na rede corporativa a partir do seu telefone, um funcionário administrativo que pode acessar a documentação de casa, ou um gerente que pode acessar o planejamento remotamente: estes são todos os pontos onde uma senha sozinha é vulnerável a phishing ou reutilização de credenciais vazadas. A autenticação multifatorial garante que uma senha roubada sozinha não seja suficiente para entrar.
O mesmo se aplica a contas com direitos elevados: o administrador da rede, o proprietário do ambiente em nuvem, ou a pessoa que pode aprovar faturas. Exatamente estas contas são mais valiosas para um invasor, e exatamente aqui é frequentemente o primeiro lugar onde se busca resposta numa lista de verificação de segurança de um cliente. Quem quiser saber mais sobre o que exatamente voltei a encontrar lá, encontrará na página sobre os tópicos que foram desenvolvidos por setor.
Onde é mais nuançado: sistemas nos clientes no local
As empresas de instalação frequentemente trabalham no local: na casa de um cliente, em um prédio comercial ou em um canteiro de obras. Situações surgem que não são diretamente comparáveis ao trabalho de escritório. Um instalador que deve fazer login num sistema de automação predial do cliente muitas vezes usa credenciais gerenciadas pelo próprio cliente e não as da sua empresa. A questão de quem regula a autenticação multifatorial ali e quem a supervisiona fica principalmente com o proprietário daquele sistema, não com a empresa de instalação que tem acesso temporário a ele.
Equipamento compartilhado num veículo da empresa, como um tablet usado por vários instaladores, é também um caso prático onde um requisito rigoroso de MFA pode entrar em conflito com a praticidade no campo. Isso não significa que a segurança desapareça, mas que sua aplicação pode ser diferente: por exemplo, uma duração de sessão curta, uma conta separada por instalador em vez de uma conta compartilhada, ou acesso que expira automaticamente após o trabalho. Supervisores e clientes procuram principalmente se foi feita uma avaliação consciente, não se exatamente a mesma solução técnica foi aplicada em toda parte.
A distinção entre chaves físicas e acesso a edifícios por um lado, e acesso digital a sistemas por outro, é também algo sobre o qual empresas de instalação frequentemente recebem perguntas. Quem quiser explorar esse tema mais amplamente encontrará uma explicação de quem pode fazer o quê em que lugar na página sobre controle de acesso no setor.
O que isto significa para a conversa com um contratante
Uma lista de verificação de segurança frequentemente coloca uma simples pergunta sim/não sobre autenticação multifator, enquanto a prática é mais matizada. Ajuda poder demonstrar por sistema onde está a verificação múltipla, por que foi escolhida ali, e como as exceções são tratadas. É precisamente aqui que um registro vivo adiciona valor: não apenas uma marca de verificação num controlo, mas uma prova e um responsável por sistema, para que a resposta à lista de verificação seja correta e fundamentada.
Se a sua empresa está sujeita ao dever de diligência, se é afetada pela cadeia, ou nenhuma das opções, pode ser visto com algumas perguntas através de da verificação gratuita que mapeia a sua situação. Para quem quer saber exatamente como secria.eu obtém as suas informações e que fontes são utilizadas, está explicado em a página sobre como funciona a plataforma. E para questões concretas sobre o que entra e o que não entra no dever de diligência, existe um resumo com respostas a perguntas que as empresas de instalação frequentemente colocam.
A autenticação multifator não é um fim em si, mas um dos pilares num registro que demonstra que o acesso aos sistemas foi organizado com reflexão. Para a situação da sua própria empresa, com os seus próprios sistemas e método de trabalho no local, continua a ser necessária uma avaliação própria; a base de conhecimentos e a verificação rápida ajudam a fazer essa avaliação com a informação correta.