Autentificarea cu mai mulți factori — adesea abreviată MFA, o verificare suplimentară pe lângă parolă, de exemplu un cod pe telefon — nu apare literal ca obligație în Directiva NIS2 sau în Legea privind securitatea cibernetică. Ceea ce se menționează, în obligația de diligență din articolul 21, este că organizațiile adoptă măsuri tehnice și organizatorice adecvate pentru, printre altele, protecția accesului. Pentru majoritatea sistemelor de birou, aplicațiilor cloud și accesului extern în industria metalurgică și de prelucrare, aceasta înseamnă în practică aproape întotdeauna: da, autentificarea cu mai mulți factori face parte din aceasta. Pentru mașini și sisteme de control pe hala de producție situația este mai nuanțată, iar acest articol o dezvoltă mai departe.
Diferența constă în ceea ce un sistem poate face din punct de vedere tehnic și care este riscul dacă o parolă singură se dovedește insuficientă. Un portal de autentificare pentru munca de acasă sau o administrație cloud poate aproape întotdeauna accepta un pas de verificare suplimentar. O consolă PLC veche de douăzeci de ani pe hala de producție adesea nu poate, iar atunci întrebarea se mută de la "MFA sau nu" la "ce altă măsură compensează aceasta".
Ceea ce obligația de diligență vă cere
Obligația de diligență nu enumeră o listă fixă de produse sau mărci. Autoritățile de supraveghere și directiva însăși vorbesc despre măsuri care se potrivesc riscurilor, stării tehnicii și costurilor de implementare. Protecția accesului este în acest context unul dintre subiectele recurente: cine poate accesa undeva, cum se verifică aceasta, și ce se întâmplă dacă o parolă este furată sau ghicită. Autentificarea cu mai mulți factori este în prezent una dintre cele mai comune modalități de a răspunde la această întrebare, și apare prin urmare în aproape fiecare implementare a acestei măsuri pe care o întâlnim — și la autoritățile de supraveghere din alte state membre. Cum exact s-a tradus aceasta în țara dumneavoastră, și ce explicații suplimentare furnizează autoritatea de supraveghere, puteți consulta via revizuirea detaliilor pe fiecare subiect.
Unde verificarea cu mai mulți factori este de obicei așteptată
Într-o întreprindere de prelucrare a metalelor sau de fabricație, locurile în care aceasta este cel mai evident sunt adesea aceleași: accesul la mediul cloud și la administrație, inbox-ul angajaților, accesul extern prin VPN pentru cei care lucrează de la distanță, și mai ales conturi cu drepturi de administrator — administratorul IT, administratorul de sistem al pachetului ERP, persoana care poate accesa copiile de siguranță. Exact aceste conturi de administrator sunt atractive pentru un atacator, deoarece o singură parolă compromisă oferă imediat acces la mult mai mult decât o singură cutie poștală. Clienții care trimit o chestionare de securitate întreabă aproape întotdeauna în mod explicit despre aceasta, și un răspuns gol la această întrebare este de obicei mai greu de explicat decât un cuvânt "nu încă peste tot, cu acest calendar".
Unde sistemele de producție cer o abordare diferită
Hala de producție este o altă poveste. O mașină CNC, un sistem SCADA sau un PLC care durează decenii, adesea nu este construit cu un ecran de autentificare care să suporte un al doilea pas de verificare. Aici obligația de diligență nu înlocuiește imposibilul printr-o obligație, ci mută atenția către alte măsuri suplimentare: izolarea sistemului într-un segment de rețea separat, limitarea accesului fizic la sala de comandă, și documentarea bună a cine a putut accesa care mașină și când. Segmentarea — separarea rețelei de producție de rețeaua biroului — este în aceste cazuri adesea măsura care umple spațiul gol pe care verificarea cu mai mulți factori îl închide pe alte fronturi. Unde o mașină este conectată la rețeaua de întreprindere, de exemplu pentru monitorizare de la distanță sau actualizări de software, acea conexiune în sine constituie din nou un risc care necesită atenție, chiar dacă aceasta nu schimbă nimic în ceea ce privește tehnologia mașinei.
Cum faceți această distincție în practică
Un prim pas util este o imagine de ansamblu a tuturor sistemelor care oferă acces la datele firmei sau proceselor de producție, cu pentru fiecare sistem întrebarea: poate suporta din punct de vedere tehnic verificarea multi-factor, și dacă nu, ce facem în locul acesteia. Acea imagine de ansamblu este exact locul în care un dosar viu își demonstrează valoarea, deoarece un răspuns de astazi poate fi schimbat de o actualizare de software de mâine. Fie că organizația dumneavoastră cade sub obligația de diligență, fie că primiți această întrebare pentru că un client vă o cere, puteți vedeți în cinci întrebări unde vă situațiDacă încă aveți îndoieli cu privire la noțiuni precum segmentarea sau conturile de administrare, atunci este disponibil și răspunsuri la întrebări frecvente pentru dumneavoastră.
Verificarea multi-factor nu este deci o casetă care arată la fel peste tot, ci o măsură care primește o implementare diferită pentru fiecare sistem. Pentru situația dumneavoastră și pentru întrebarea dacă o anumită excepție pentru mașinile dumneavoastră este susținută împotriva unui client sau autorității de supraveghere, consultanța juridică sau discuția cu autoritatea de supraveghere rămâne calea indicată — secria.eu descrie ceea ce se aplică și ajută să fie înregistrat, dar nu judecă situația dumneavoastră individuală.
Doriți să afișați această imagine de ansamblu pentru propria dumneavoastră firmă, inclusiv sistemele care se califică și nu se califică la dumneavoastră? Faceți scanarea rapidă gratuită sau citiți mai întâi subiectele.