Viacstupňová autentifikácia, často označovaná ako MFA, je druhá kontrola nad heslom: kód z aplikácie, SMS alebo fyzický kľúč. Otázka, či je to povinné pre softvérové podnikanie, sa nedá odpovedať jednoducho áno alebo nie, pretože Smernica NIS2 nepredpisuje žiadnu konkrétnu technológiu. Článok 21 však zavdzuje organizácie, na ktoré sa vzťahuje povinnosť starostlivosti, k zavedeniu vhodných opatrení na zaistenie bezpečnosti prístupu a viacstupňovej autentifikácie, pričom orgány dohľadu sa zameriavajú na oblasti, kde je riziko najväčšie.
Pre softvérové podnikanie sú to v praxi dve úplne odlišné miesta: vývojový reťazec, s ktorým pracujete sami, a softvér, ktorý dodávate zákazníkom. Obe oblasti si vyžadujú samostatnú úvahu, a táto úvaha nie je všade rovnako prísna.
Dve miesta, kde hrá úlohu viacstupňová autentifikácia
Prvé miesto je interné: prostredie, v ktorom pracujú vaši vývojári. Zdrojový kód, vývojový reťazec, cloudové konzoly a systémy, pomocou ktorých vydávate do produkcie. Druhé miesto je v samotnom produkte: ak má softvér, ktorý budujete alebo dodávate, prihlasovací obrazovku, viacstupňová autentifikácia je témou aj tam, a to ako pre vaše vlastné používatele, tak pre koncových používateľov vášho zákazníka. Bezpečnostný zoznam otázok od obstarávateľa sa takmer vždy pýta na obidve, často v samostatných otázkach formulovaných inak, než by ste čakali.
Pri prístupe do vášho vývojového reťazca
Tu existuje najsilnejšie očakávanie. Kto má prístup k zdrojovému kódu, kto môže vydávať do produkcie a kto má práva správcu v cloudovom prostredí, predstavuje najväčšie riziko, ak je heslo ukradnuté alebo znovu použité. Pre tieto konta platí viacstupňová autentifikácia v prakticky každom rámci bezpečnosti ako základné opatrenie, a je to tiež to, čo orgány dohľadu a zákazníci očakávajú ako prvé. Správa verzií, samotný vývojový reťazec a najmä každé konto s právami vydávať kód do produkcie by mali v praxi bez výnimky patriť za druhým krokom.
Patrí k tomu aj pohľad na to, kto skutočne ešte potrebuje daný prístup. Spis, v ktorom je pre každý systém uvedené, kto má prístup a prečo, uľahčuje odpoveď na túto otázku v zozname otázok konkrétnym odpovediam namiesto predpokladov. ako sa prístupové práva a viacstupňová autentifikácia vysvetľujú podľa jednotlivých tém dáva tam začiatok.
Pri softvéri, ktorý dodávate
Druhá úroveň je samotný softvér. Ak má váš produkt funkciu prihlásenia, otázka, či ponúkate viacstupňovú autentifikáciu, sa v bezpečnostnom zozname otázok objavuje takmer vždy, niekedy dokonca ako zmluvná požiadavka. Ide o inú úvahu než v prípade vášho vlastného vývojového reťazca: nejde o to, čo sami používate, ale o to, čo dodávate zákazníkovi. Obstarávateľ, ktorý sám podlieha povinnosti starostlivosti, musí podľa článku 21 posúdiť aj svoju dodávateľskú sieť, a otázka, či váš produkt podporuje silnú autentifikáciu, je jej súčasťou.
Odpoveď nemusí byť taká, že je povinne aktívna všade. Často postačuje ukázať, že možnosť existuje, že používatelia sú na ňu motivovaní a že máte plán na jej rozšírenie tam, kde to riziko ospravedlňuje.
Kde to nie je samozrejmé
Nie každý účet a ani každé prostredie si vyžaduje rovnakú intenzitu. Testovací prostredie bez skutočných údajov zákazníkov, interný dokumentačný systém iba s právami čítania alebo samostatný nástroj, ktorý náhodne používa jeden vývojár, majú iný váhu ako účet s prístupom do produkčného prostredia. Povinnosť starostlivosti si vyžaduje opatrenia, ktoré zodpovedajú rizikám, nie rovnakú ťažkú vrstvu všade. Dohľadové orgány to posudzujú na základe proporcionality, a to znamená, že zdôvodnený zámer neuplatňovať viacfaktorové overovanie na určitom mieste môže byť súčasťou spisu rovnako dobre ako miesta, kde sa používa.
Zdôvodnenie je tu kľúčové slovo. Voľba bez vysvetlenia sa v zozname otázok rýchlo javí ako vynechanie, zatiaľ čo rovnaká voľba s krátkym zdôvodnením je často práve odpoveď, ktorú objednávateľ hľadá.
Čo to znamená pre rozhovor s objednávateľom
Objednávateľ, ktorý posiela zoznam otázok, zvyčajne nechce vedieť, či spĺňate každé písmeno, ale či viete, kde sú vaše riziká, a či s nimi vedome narábate. Pre viacfaktorové overovanie to znamená: môcť ukázať, čo je na vývojárstkom slučovom vedení, čo je v produkte a prečo je zvyšok inak nastavený. Ten, kto to má zdokumentované pre každý systém so stavom a vlastníkom, nemusí otázku znova hľadať, keď príde ďalší zoznam otázok.
To, ako sa to presne realizuje vo vašej organizácii, závisí od vašej úlohy v dodávateľskom reťazci a od konkrétnych otázok vašich zákazníkov; v prípade pochybností si pozrite text samotnej Smernice alebo sa poraďte s poradcom. Ak chcete najskôr zistiť, kde stojíte, poskytuje bezplatná kontrola v niekoľkých otázkach prvú indikáciu, a vysvetlenie toho, odkiaľ informácia pochádza ukazuje, ako sa táto indikácia vytvorila.
Ak chcete čítať širšie o tom, ako sa táto téma vzťahuje na iné opatrenia z povinnosti starostlivosti, nájdete to v prehľade tém podľa situácieRýchly sken a vedomostná základňa sú voľne dostupné bez toho, aby ste si museli vytvoriť účet.