Este autentificarea multifactorială (MFA) obligatorie pentru un furnizor de servicii ICT? Un răspuns scurt nu există, și tocmai de aceea această întrebare se repeată atât de des la autoritățile de supraveghere, mandatari și în chestionarele de securitate. Directiva NIS2 menționează autentificarea multifactorială sau autentificarea continuă în mod explicit ca exemplu de măsură care face parte din obligația de diligență, dar nu prescrie pe care sistem, pentru cine și în care moment trebuie aplicată. Implementarea rămâne la discreția organizației în sine, ceea ce face subiectul mai complex decât un simplu da sau nu.
Ceea ce este clar este următorul: de îndată ce un cont oferă acces de la distanță la sisteme, date sau infrastructură ale unui client, autoritățile de supraveghere și mandatarii se așteptă ca mai mult decât o simplă parolă să fie implementat. Aceasta se aplică personalului propriu, subcontractanților și accesului temporar care este revocat după finalizarea unui proiect. Unde această așteptare este mai puțin stringentă este la accesul intern, cu risc scăzut, care nu este accesibil din exterior. Aceasta este granița pe care acest articol o explorează în continuare.
De ce autentificarea multifactorială apare în aproape fiecare chestionar
Ca furnizor de servicii ICT, sunteți adesea partea care se conectează la distanță pentru un client, execută actualizări sau rezolvă defecțiuni. Exact această cale de acces este atractivă pentru un atacator: o singură parolă furata poate oferi acces la mai multe medii de clienți simultan. Mandatarii care cad ei înșiși sub obligația de diligență trebuie să evalueze furnizorii lor, iar autentificarea multifactorială la accesul de la distanță este una dintre primele lucruri care se verifică. Dacă nu aveți un răspuns clar, veți observa că chestionarele se lungesc sau că un contract este pus în așteptare.
în câteva întrebări vedeți dacă organizația dumneavoastră este afectată prin lanțul de furnizare oferă o indicație inițială despre cât de ponderoase pot fi acest fel de cerințe în cazul dumneavoastră. Pentru un furnizor MKB care lucrează pentru mai mulți clienți obligați, este probabil ca aceeași întrebare să se repete constant, doar cu o formulare ușor diferită.
Unde autentificarea multifactorială este așteptată în mod structural
Trei căi de acces apar cel mai frecvent în practică ca locuri unde autentificarea multifactorială ar trebui să figureze. În primul rând, administrarea de la distanță: fiecare conexiune prin care un administrator din afara rețelei poate accesa un sistem, inclusiv acces VPN și conexiuni remote desktop. În al doilea rând, acces la sisteme client: conturi create în mod specific pentru a se conecta la un mandatar, mai ales atunci când accesul oferă drepturi de administrator. În al treilea rând, subcontractanți și terțe părți care efectuează lucrări în numele dumneavoastră la un client; accesul lor se supune aceleiași așteptări, chiar dacă subcontractantul în sine nu apare în mod direct în chestionar.
Pentru aceste trei categorii, modelul este întotdeauna același: cu cât este mai departe accesul de la rețeaua proprie fizic protejată, cu atât mai puternică este așteptarea ca o a doua etapă de verificare să fie prezentă.
Unde discuția rămâne încă deschisă
În cadrul unei rețele interne de birou, pentru un cont care funcționează doar la nivel local și fără o cuplare externă, necesitatea autentificării multifactoriale este mai puțin univocă. Aceasta nu înseamnă că este neimportantă, ci că evaluarea acolo se referă mai mult la risc și proporționalitate decât la o normă strictă. Aceeași nuanță se aplică conturilor funcționale partajate care nu sunt legate de un individ: acestea necesită o soluție diferită decât o a doua etapă pentru fiecare persoană, de exemplu prin eliminarea contului în favoarea datelor de conectare personale.
Aceasta este categoria cu care organizațiile se confruntă cel mai des atunci când sosește un chestionar de securitate: nu cazurile evidente, ci sistemele care se situează undeva la mijloc. citiți explicația pentru fiecare situație ajută la a vedea în ce categorie se încadrează probabil un anumit sistem, fără a fi nevoie să citiți mai întâi întreaga directivă.
Ce înseamnă aceasta pentru dosarul propriu
Pentru obligația de diligență, nu contează doar dacă autentificarea multifactorială este implementată, ci și dacă aceasta poate fi demonstrată: cine a luat decizia, pe ce sisteme este activată și care este starea sistemelor în care aceasta lipsește încă. Aceasta este exact felul de documentare pe care o cere un dosar activ în locul unei acțiuni unice. În caz de îndoială cu privire la modul în care trebuie evaluată o anumită acces, autoritatea de supraveghere sau un jurist rămâne persoana indicată să o evalueze pentru situația dvs.; această explicație are scopul de a clarifica întrebarea, nu de a o înlocui.
Curioși cum se transpune acest subiect în dosarul propriu? citiți de unde provin informațiile pe secria.eu arată cum ținem evidența surselor, iar verificarea NIS2 gratuită oferă o primă impresiune a situației dvs. în doar câteva minute.