Je viacnásobné overenie (MFA) povinné pre poskytovateľa ICT služieb? Krátka odpoveď neexistuje, a to je práve dôvod, prečo sa táto otázka tak často objavuje u regulátorov, objednávateľov a v zoznamoch bezpečnostných otázok. Smernica NIS2 výslovne spomína viacnásobné overovanie alebo nepretržité overovanie ako príklad opatrenia, ktoré patrí k povinnosti starostlivosti, ale nepredpisuje, na aký systém, pre koho a v akom čase by malo byť implementované. Túto konkretizáciu ponecháva samotnej organizácii, a to z tohto tématu robí niečo zložitejšie ako jednoduché áno alebo nie.
Čo je jasné: akonáhle účet poskytuje vzdialenú prístup k systémom, údajom alebo infraštruktúre klienta, regulátori aj objednávatelia očakávajú niečo viac ako len heslo. To platí pre vlastných zamestnancov, pre subdodávateľov a pre dočasný prístup, ktorý sa po ukončení projektu odoberie. Tam, kde je táto očakávanie menej prísne, je pri vnútornom prístupe s nízkou úrovňou rizika, ktorý nie je dostupný zvonka. To je hranica, ktorú tento článok ďalej rozpracúva.
Prečo sa MFA objavuje v takmer každom zozname otázok
Ako poskytovateľ ICT služieb ste často strana, ktorá sa v mene klienta prihlasuje na diaľku, vykonáva aktualizácie alebo rieši poruchy. Práve táto prístupová cesta je pre útočníka atraktívna: jedno ukradnuté heslo môže poskytnúť prístup k viacerým klientskym prostrediam naraz. Objednávatelia, ktorí sami podliehajú povinnosti starostlivosti, musia posúdiť svojich dodávateľov, a viacnásobné overenie pri vzdialenoch prístupe je jednou z prvých vecí, na ktorú sa pýtajú. Kto na to nemá odpoveď, zistí, že zoznam otázok sa predlžuje alebo že zmluva zostáva pozastavená.
v niekoľkých otázkach zistiť, či vaša organizácia je dotknutá cez reťazec dáva prvú indikáciu toho, ako ťažko sa vám môžu takéto požiadavky odsúvať. Pre poskytovania MKB služieb, ktorý pracuje pre viacerých záväzných klientov, je veľká pravdepodobnosť, že sa tá istá otázka objavuje opakovane, len so mierne odlišným znením.
Kde sa MFA štruktúrne očakáva
V praxi sa tri prístupové cesty najčastejšie objavujú ako miesto, kde by malo byť viacnásobné overenie prítomné. Po prvé, správa na diaľku: každé spojenie, prostredníctvom ktorého sa správca z vonkajšej siete dostane k systému, vrátane VPN prístupu a pripojení na vzdialenú plochu. Po druhé, prístup k systémom klientov: účty špecificky vytvorené na prihlásenie sa k objednávateľovi, najmä keď tento prístup poskytuje práva administrátora. Po tretie, subdodávatelia a externí partneri, ktorí v tvojom mene pracujú u klienta; ich prístup podlieha tej istej očakávaní, aj keď subdodávateľ sám nie je priamo na zozname otázok.
Pri týchto troch kategóriách je vzor vždy rovnaký: čím ďalej je prístup od vlastnej, fyzicky chránenej siete, tým silnejšia je očakávanie, že je prítomný druhý krok overenia.
Kde je diskusia ešte otvorená
V rámci vlastnej kancelárskej siete, pre účet, ktorý funguje len lokálne a bez externého prepojenia, je potreba MFA menej jednoznačná. To neznamená, že je to nepodstatné, skôr že tu ide rozhodovanie viac o riziku a proporčnosti ako o tvrdej norme. Rovnaký nuans platí aj pre zdieľané funkčné účty, ktoré nie sú viazané na konkrétnu osobu: tie si vyžadujú iné riešenie ako druhý krok pre jednotlivca, napríklad zrušením samotného účtu v prospech osobných prihlasovacích údajov.
Práve táto kategória je tá, s ktorou sa organizácie najčastejšie zápasia, keď príde zoznam bezpečnostných otázok: nie jasné prípady, ale systémy, ktoré sa nachádzajú niekde medzi nimi. prečítajte si vzorec na jednotlivé situácie pomáha vidieť, do ktorej kategórie konkrétny systém pravdepodobne patrí, bez toho, aby ste si najskôr museli prečítať celú smernicu.
Čo to znamená pre váš vlastný spis
Na splnenie povinnosti starostlivosti nestačí iba to, či je viacnásobné overovanie nastavené, ale aj to, či sa to dá preukázať: kto prijal rozhodnutie, na ktorých systémoch je zapnuté a aký je stav systémov, kde ešte chýba. To je presne ten typ dokumentácie, ktorý si vyžaduje živý spis namiesto jednorázovej akcie. Ak ste v pochybnosti o tom, ako prísne sa má posúdiť špecifický prístup, je správny partner na ohodnotenie vašej situácie dohľadný orgán alebo právnik; toto vysvetlenie má za cieľ otázku spresniť, nie ju nahradiť.
Zaujíma vás, ako sa táto téma dostane do vášho vlastného spisu? prečítajte si, odkiaľ pochádzajú informácie na secria.eu ukazuje, ako vedieme evidenciu zdrojov, a bezplatná kontrola NIS2 vám v pár minútach poskytne prvý prehľad o vašej situácii.