Viacstupňové overenie, tiež nazývané dvojfaktorové overenie alebo MFA, znamená prihlásenie sa s niečím, čo viete (heslo), a niečím, čo máte (kód v telefóne, kľúč alebo aplikácia). Pre inštalačné spoločnosti podliehajúce povinnosti starostlivosti NIS2 alebo ktoré ako dodávateľ dostanú bezpečnostný zoznam otázok, je toto jednou z najčastejšie kladených otázok: musí to byť všade, alebo len na určitých miestach?
Krátka odpoveď: povinnosť starostlivosti nepredpisuje konkrétnu technológiu, ale požaduje opatrenia, ktoré zodpovedajú riziku. Pre systémy, ktoré sú dostupné na diaľku, ako sú e-maily, váš ERP systém, pripojenie VPN alebo ovládací panel vášho softvéru na plánovanie a fakturáciu, sa viacstupňové overenie zvyčajne považuje za základné opatrenie. Pre prístup k budove, skrinke na kľúče alebo systému u klienta na mieste je to viac nuancovanejšie, a práve tu má mnohé inštalačné spoločnosti praktickú otázku.
Kde sa viacstupňové overenie zvyčajne očakáva
Logika je jednoduchá: čím ďalej je systém od vašej vlastnej kancelárie a čím sú citlivejšie údaje za ním, tým silnejšia ochrana by mala byť. Technik, ktorý sa z telefónu prihlasuje do firemnej siete, zamestnanec kancelárie, ktorý z domu má prístup k administratívnym údajom, alebo vedúci pracovník, ktorý má na diaľku prístup k plánovaniu: to sú všetko miesta, kde je heslo samotné zraniteľné voči phishingu alebo opätovnému použitiu uniknutých prihlasovacie údajov. Viacstupňové overenie spôsobuje, že ukradnuté heslo samotné nestačí na vstup.
To isté platí pre účty so zvýšenými právami: správca siete, vlastník cloudového prostredia alebo osoba, ktorá môže schváliť faktúry. Práve tieto účty sú pre útočníka najcennejšie, a práve tu sa na ne často pýtajú v bezpečnostnom zozname otázok od objednávateľa. Kto sa chce dozvedieť viac o tom, čo sa v ňom presne objavuje, nájde to na stránke o témach spracovaných podľa sektora.
Kde je to nuancovanejšie: systémy u klientov na mieste
Inštalačné spoločnosti často pracujú na mieste: u klienta doma, v podnikaní alebo na stavbe. Vznikajú tam situácie, ktoré sa nedajú priamo porovnávať s kancelárskou prácou. Technik, ktorý sa musí prihlásiť do budovného systému riadenia klienta, často používa prihlasovacie údaje spravované samotným klientom, nie údaje z vlastnej spoločnosti. Otázka, kto tam riadi viacstupňové overenie a kto nad tým dozerá, leží predovšetkým na majiteľovi toho systému, nie na inštalačnej spoločnosti, ktorá má tam dočasný prístup.
Aj zdieľané zariadenia v podnikaní, ako tablet používaný viacerými technikmi, je praktický prípad, v ktorom striktná požiadavka MFA môže kolidovať s funkčnosťou práce. To neznamená, že bezpečnosť tam padá, ale jej riešenie môže byť iné: napríklad krátke trvanie relácie, samostatný účet pre každého technika namiesto zdieľaného účtu, alebo prístup, ktorý sa automaticky skončí po práci. Dozorný orgán a objednávatelia sa tam pozerá najmä na to, či bolo urobené vedomé posúdenie, nie na to, či je presne rovnaké technické riešenie aplikované všade.
Rozlíšenie medzi fyzickými kľúčmi a prístupom do budovy na jednej strane a digitálnym prístupom k systémom na druhej strane je tiež niečo, na čo si inštalačné spoločnosti často kladú otázky. Kto chce tému šíriau preskúmať, nájde rozpracovanie, kto môže mať prístup kam, na stránke o kontrole prístupu v odvetví.
Čo to znamená pre rozhovor s objednávateľom
Bezpečnostný dotazník často kladie jednoduchú otázku áno/nie o MFA, zatiaľ čo prax je nuancovanejšia. Pomáha môcť zobraziť na základe jednotlivých systémov, kde je viacstupňové overovanie zavedené, prečo bolo v danom prípade zvolené a ako sa postupuje s výnimkami. Presne to je hodnota, ktorú prináša živý spis: nielen začiarknutie pri opatrení, ale aj doklad a osoba zodpovedná za jednotlivý systém, aby bola odpoveď v dotazníku správna a podložená.
Či vaša spoločnosť podlieha povinnosti starostlivosti, či je postihnutá prostredníctvom dodávateľského reťazca, alebo ani jedno, je možné zistiť položením niekoľkých otázok prostredníctvom bezplatnej kontroly, ktorá zmapuje vašu situáciu. Pre tých, ktorí chcú presne vedieť, ako secria.eu získava svoje informácie a ktoré zdroje sa používajú, nájde sa vysvetlenie na stránke o tom, ako platforma funguje. A pre konkrétne otázky o tom, čo spadá a čo nespadá pod povinnosť starostlivosti, je k dispozícii prehľad s odpoveďami na otázky, ktoré inštalačné firmy často kladú.
Viacstupňové overovanie nie je cieľom samo o sebe, ale jednou z kľúčových súčastí spisu, ktorý ukazuje, že prístup k systémom je premyslene usporiadaný. Pre situáciu vašej vlastnej spoločnosti s jej vlastnými systémami a pracovným postupom na mieste zostáva nevyhnutné vlastné posúdenie; znalostná báza a rýchla kontrola pomáhajú urobiť toto posúdenie s správnymi informáciami.