Verificarea multiplă, numită și verificare în doi pași sau MFA, înseamnă conectarea cu ceva pe care o știți (o parolă) și ceva pe care o aveți (un cod pe telefon, o cheie sau o aplicație). Pentru întreprinderile de instalații care se încadrează sub obligația de diligență a NIS2 sau care primesc un chestionar de securitate ca furnizor, aceasta este una dintre cele mai frecvente întrebări: trebuie să fie peste tot, sau doar în anumite locuri?
Răspunsul scurt: obligația de diligență nu prescrie o tehnologie specifică, ci cere măsuri care sunt proporționate cu riscul. Pentru sistemele care sunt accesibile de la distanță, cum ar fi e-mailul, sistemul dumneavoastră ERP, conexiunea VPN sau panoul de administrare al software-ului dumneavoastră de planificare și facturare, verificarea multiplă este de obicei considerată o măsură de bază. Pentru accesul la o clădire, un dulap cu chei sau un sistem la locul clientului, situația este mai nuanțată, și aceasta este întrebarea practică pentru multe întreprinderi de instalații.
Unde se așteaptă de obicei verificarea multiplă
Nucleul raționamentului este simplu: cu cât un sistem este mai departe de propriul birou și cu cât datele din spatele acestuia sunt mai sensibile, cu atât mai grea ar trebui să fie protecția care se potrivește. Un instalator care se conectează la rețeaua companiei de pe telefonul său, un angajat al biroului care poate accesa administratorul de acasă, sau un manager care poate accesa planificarea de la distanță: acestea sunt toate locurile în care o parolă singură este vulnerabilă la phishing sau reutilizarea datelor de conectare scurse. Verificarea multiplă face ca o parolă furată să nu fie suficientă pentru a intra.
Același lucru este valabil pentru conturi cu drepturi ridicate: administratorul rețelei, proprietarul mediului cloud, sau persoana care poate aproba facturile. Tocmai aceste conturi sunt cele mai valoroase pentru un atacator și tocmai acolo se întreabă adesea în primul rând într-un chestionar de securitate al unui client. Cei care doresc să afle mai multe despre ce se întoarce exact în aceasta, găsesc pe pagina despre subiectele care sunt elaborate pe sector.
Unde este mai nuanțat: sisteme la clienți pe teren
Întreprinderile de instalații lucrează adesea pe teren: la domiciliul unui client, într-o clădire de birou sau pe un șantier. Apar situații care nu pot fi comparate unu-la-unu cu munca de birou. Un instalator care trebuie să se conecteze la un sistem de management al clădirilor al clientului folosește adesea datele de conectare pe care le gestionează clientul însuși, nu pe cele ale propriei companii. Întrebarea cui să reglementeze verificarea multiplă și cui să o supravegheze se află apoi în principal la proprietarul acelui sistem, nu la întreprinderea de instalații care are acces temporar la aceasta.
De asemenea, echipamentul partajat într-o furgonetă de companie, cum ar fi o tabletă utilizată de mai mulți instalatori, este un caz practic în care o cerință strictă de MFA poate intra în conflict cu practica pe teren. Aceasta nu înseamnă că securitatea se pierde acolo, ci că implementarea poate fi diferită: de exemplu, o durată scurtă a sesiunii, un cont separat pe instalator în loc de un cont partajat, sau acces care expiră automat după muncă. Autoritățile de supraveghere și clienții privesc în principal dacă a fost făcută o evaluare conștientă, nu dacă s-a aplicat exact aceeași soluție tehnică peste tot.
Distincția între cheile fizice și accesul la clădiri pe de o parte și accesul digital la sisteme pe de altă parte este, de asemenea, ceva despre care întreprinderile de instalații primesc adesea întrebări. Cei care doresc să exploreze mai larg acest subiect găsesc o elaborare a cine poate face ce pe pagina despre control de acces în sector.
Ce înseamnă aceasta pentru discuția cu un client
O chestionar de securitate pune adesea o simplă întrebare da/nu despre autentificarea multifactorială, în timp ce practica este mai nuanțată. Ajută să poți arăta per sistem unde se află verificarea multiplă, de ce a fost aleasă acolo și cum se gestionează excepțiile. Aceasta este exact valoarea pe care o adaugă un registru viu: nu doar o bifă lângă o măsură, ci o dovadă și un proprietar per sistem, astfel încât răspunsul la chestionar să fie corect și fundamentat.
Dacă întreprinderea dvs. se supune obligației de diligență, este afectată prin lanț de aprovizionare, sau nici una din acestea, se poate vedea cu câteva întrebări prin verificarea gratuită care vă mapează situația. Pentru cei care doresc să știe exact cum secria.eu ajunge la informațiile sale și ce surse sunt utilizate, aceasta este explicată pe pagina despre cum funcționează platforma. Și pentru întrebări concrete despre ce intră și ce nu intră sub obligația de diligență, există un aparat cu răspunsuri la întrebări pe care instalatorii le pun frecvent.
Autentificarea multifactorială nu este un scop în sine, ci una dintre componentele unui registru care arată că accesul la sisteme este gestionat cu gândire. Pentru situația propriei dvs. întreprinderi, cu propriile sale sisteme și metode de lucru la fața locului, o evaluare proprie rămâne necesară; baza de cunoștințe și scanarea rapidă vă ajută să faceți acea evaluare cu informațiile corecte.