Viacvrstvové overovňovanie — často skrátené ako MFA, ďalšia kontrola popri hesle, napríklad kód v telefóne — nie je výslovne uvedené ako povinnosť v smernici NIS2 alebo v zákone o kybernetickej bezpečnosti. Čo je v nej uvedené, v povinnosti starostlivosti článku 21, je, že organizácie prijímajú primeraná technická a organizačná opatrenia pre kontrolu prístupu okrem iného. V praxi to pre väčšinu kancelárskych systémov, cloudových aplikácií a vzdáleného prístupu v metalurgickom a výrobnom priemysle znamená takmer vždy: áno, viacvrstvové overovňovanie sem patrí. Pre stroje a riadiace systémy na výrobnom mieste je to viac nuancované, a tento článok sa tým ďalej zaoberá.
Rozdiel spočíva v tom, čo je systém technicky schopný robiť a aké je riziko, ak samotné heslo nestačí. Prihlasovacie portály pre prácu z domu alebo cloudová administratíva môžu takmer vždy spracovať dodatočný overovací krok. Dvadsať rokov staré ovládacie panely PLC na výrobnom mieste často nie, a potom sa otázka zmení z "MFA alebo nie" na "aké iné opatrenie to kompenzuje".
Čo od vás povinnosť starostlivosti očakáva
Povinnosť starostlivosti neuvádzajúci pevný zoznam produktov alebo značiek. Dohľadajúce orgány a samotná smernica hovoria o opatreniach, ktoré zodpovedajú rizikám, stavu techniky a nákladom na vykonávanie. Kontrola prístupu je pri tom jednou z opakujúcich sa tém: kto má kde prístup, ako sa to kontroluje a čo sa stane, ak je heslo ukradnuté alebo uhádnuté. Viacvrstvové overovňovanie je v súčasnosti jedným z najbežnejších spôsobov, ako odpovedať na túto otázku, a preto sa objavuje takmer v každej výrobe tohto opatrenia, ktorú poznáme — aj medzi dohľadajúcimi orgánmi v iných členských štátoch. Ako bolo to presne prevedené vo vašej krajine a aké ďalšie vysvetlenie k tomu dáva dohľadajúci orgán, môžete skontrolovať prostredníctvom prejsť si výradu podľa témy.
Kde sa viacvrstvové overovňovanie väčšinou očakáva
V metalurgickom podniku alebo výrobnom podniku sú miesta, kde je to najlogickejšie, často tie isté: prístup do cloudového prostredia a administratívy, doručovača zamestnancov, vzdialený prístup cez VPN pre tých, ktorí pracujú na diaľku, a predovšetkým účty s právami správcu — správca IT, správca systémov balíka ERP, ten, kto má prístup k zálohám. Práve tieto účty správcov sú atraktívne pre útočníka, pretože jedno ukradnuté heslo dáva ihneď prístup do oveľa viac než jednej poštovej schránky. Objednavatelia, ktorí zasielajú zoznam otázok o bezpečnosti, sem takmer vždy výslovne pýtajú, a prázdna odpoveď na túto otázku je zvyčajne ťažšie odsúdiť ako čestné "ešte nie všade, s týmto časovým plánom".
Kde výrobné systémy vyžadujú iný prístup
Výrobná plocha je iný prípad. Stroj CNC, systém SCADA alebo PLC, ktorý vydržal desaťročia, zvyčajne nie je postavený s prihlasovacej obrazovkou, ktorá by podporovala druhý overovací krok. Tu povinnosť starostlivosti nenahraďuje nemožné povinnosťou, ale presúva pozornosť na iné doplňujúce opatrenia: systém izolovať v samostatnom segmente siete, fyzický prístup do ovládacej miestnosti obmedziť a dobre zaznamenať, kto kedy mal prístup ku ktorému stroju. Segmentácia — oddelenie výrobnej siete od kancelárskej siete — je v takých prípadoch často opatrením, ktoré zaplní medzeru, ktorú viacvrstvové overovňovanie zatvárajú inde. Kde je stroj pripojený k firemnej sieti, napríklad na diaľkový monitoring alebo softvérové aktualizácie, samotná táto úprava sa opäť počíta ako riziko vyžadujúce pozornosť, aj keď to nemení nič na technike samotného stroja.
Ako urobíte tento rozdiel v praxi
Užitočným prvým krokom je prehľad všetkých systémov, ktoré poskytujú prístup k obchodným údajom alebo výrobným procesom, a na každý systém si položiť otázku: môže to technicky umožniť viacfaktorové overenie, a ak nie, čo urobíme namiesto toho. Tento prehľad je presne tou oblasťou, kde si živý správca dokazuje svoju hodnotu, pretože jedna odpoveď z dnešného dňa sa môže zmeniť softvérovým aktualizáciou zajtra. Či vaša organizácia sama podlieha povinnosti starostlivosti, alebo túto otázku dostávate, pretože si ju vyžaduje objednávateľ, v piatich otázkach vidieť, kde stojítemôžete odpovede na časté otázky nájsť tu.
Viacfaktorové overenie teda nie je jednoduché zaškrtnutie, ktoré vyzerá všade rovnako, ale opatrenie, ktoré sa pre každý systém implementuje inak. Pre vlastnú situáciu a na to, či je špecifická výnimka pre vaše stroje udržateľná voči objednávateľovi alebo dohľadnému orgánu, zostáva právne poradenstvo alebo konzultácia s dohľadným orgánom správnym spôsobom — secria.eu popisuje, čo je použiteľné, a pomáha to zdokumentovať, ale nerozhoduje sa o vašej jednotlivej situácii.
Chcete, aby sa tento prehľad zobrazil pre vašu spoločnosť vrátane systémov, ktoré sa u vás zvažujú a ktoré sa nezvažujú? Vykonajte bezplatenný rýchly scan alebo si najskôr prečítajte jednotlivé témy.