Autenticação multifator — frequentemente abreviada como MFA, um controlo adicional além da senha, por exemplo um código no telemóvel — não é explicitamente referida como uma obrigação na Diretiva NIS2 ou na Lei de Cibersegurança. O que consta, no dever de diligência do artigo 21, é que as organizações implementem medidas técnicas e organizacionais adequadas para, entre outras coisas, proteção de acesso. Para a maioria dos sistemas de escritório, aplicações em nuvem e acesso remoto na indústria metalúrgica e de fabrico, isto significa, na prática, quase sempre: sim, autenticação multifator faz parte disso. Para máquinas e sistemas de controlo no chão de fábrica é mais nuançado, e este artigo analisa-o com maior detalhe.
A diferença está no que um sistema consegue tecnicamente fazer e qual é o risco se uma senha apenas não se revelar suficiente. Um portal de autenticação para teletrabalho ou uma administração em nuvem quase sempre pode suportar um passo de verificação adicional. Uma consola de PLC com vinte anos de idade no chão de fábrica muitas vezes não pode, e então a questão muda de "MFA ou não" para "que outra medida compensa isto".
O que o dever de diligência espera de si
O dever de diligência não lista um conjunto fixo de produtos ou marcas. As autoridades supervisoras e a própria diretiva falam de medidas adequadas aos riscos, ao estado da técnica e aos custos de implementação. A proteção de acesso é nisto um dos temas recorrentes: quem pode aceder a quê, como é isso controlado, e o que acontece se uma senha é roubada ou adivinhada. Autenticação multifator é presentemente uma das formas mais comuns de responder a essa questão, e por isso reaparece em quase todas as implementações dessa medida que encontramos — também junto das autoridades supervisoras noutros estados-membros. Como isto foi exatamente transposto no seu país, e qual a explicação adicional que a autoridade supervisora fornece, pode verificar através de analisar a implementação por tema.
Onde autenticação multifator é geralmente esperada
Numa empresa metalúrgica ou de fabrico, os locais onde isto é mais apropriado são muitas vezes os mesmos: acesso ao ambiente em nuvem e à administração, caixas de correio dos colaboradores, acesso remoto via VPN para quem trabalha à distância, e sobretudo as contas com direitos de administrador — o responsável de TI, o administrador de sistemas do pacote ERP, quem acede aos ficheiros de cópia de segurança. Precisamente essas contas de administrador são atrativas para um atacante, porque uma única senha roubada dá logo acesso a muito mais do que uma caixa de correio. Os dadores de encomendas que enviam um questionário de segurança quase sempre perguntam explicitamente sobre isto, e uma resposta vazia a essa pergunta é geralmente mais difícil de justificar do que uma resposta honesta "ainda não em todo o lado, com este calendário".
Onde sistemas de produção exigem uma abordagem diferente
O chão de fábrica é outra história. Uma máquina CNC, um sistema SCADA ou um PLC que funciona há décadas, muitas vezes não foi construído com um ecrã de autenticação que suporte um passo de verificação adicional. Aqui, o dever de diligência não transforma o impossível numa obrigação, mas desloca a atenção para outras medidas complementares: isolar o sistema numa segmentação de rede separada, limitar o acesso físico à sala de controlo, e registar bem quem acedia a qual máquina e quando. Segmentação — separar a rede de produção da rede de escritório — é nestes casos muitas vezes a medida que fecha a lacuna que autenticação multifator fecha noutro lado. Quando uma máquina está ligada à rede empresarial, por exemplo para monitorização remota ou atualizações de software, essa ligação em si já é um risco que exige atenção, mesmo que não altere a técnica da máquina.
Como faz este distinção na prática
Um passo útil inicial é um inventário de todos os sistemas que fornecem acesso a dados comerciais ou processos de produção, com a pergunta por sistema: pode isso tecnicamente suportar autenticação multifator e, caso contrário, o que fazemos em seu lugar. Esse inventário é precisamente onde um registro vivo prova seu valor, porque uma resposta de hoje pode mudar com uma atualização de software amanhã. Quer sua organização se enquadre diretamente na obrigação de diligência ou receba essa pergunta porque um cliente a exige de você, você pode vê em cinco perguntas onde se encontraSe você ainda tem dúvidas sobre conceitos como segmentação ou contas de administrador, há também respostas para perguntas frequentes disponível.
Autenticação multifator, portanto, não é uma caixa de seleção que parece igual em todos os lugares, mas uma medida que recebe uma implementação diferente por sistema. Para sua situação específica e para a questão de saber se uma exceção específica para suas máquinas é defensável perante um cliente ou autoridade reguladora, aconselhamento jurídico ou consulta com a autoridade reguladora continua sendo a via apropriada — secria.eu descreve o que é aplicável e ajuda a registrá-lo, mas não faz julgamentos sobre sua situação individual.
Quer ver esse inventário para sua própria empresa, incluindo os sistemas que se aplicam e os que não se aplicam em seu caso? Faça a verificação rápida gratuita ou leia primeiro os tópicos.