Je večfaktorska overitev (MFA) obvezna za ponudnika storitev IKT? Kratek odgovor ne obstaja, in to je ravno razlog, zakaj se to vprašanje tako pogosto pojavlja pri nadzornih organih, naročnikih in v vprašalnikih o varnosti. Direktiva NIS2 izrecno omenja večfaktorsko avtentikacijo ali neprekinjeno avtentikacijo kot primer ukrepa, ki je del obveznosti skrbi, vendar ne predpiše, na katerem sistemu, za koga in v katerem trenutku mora biti. To razdelavo prepušča sami organizaciji, zato je ta tema zahtevnejša kot preprost da ali ne.
Jasno je naslednje: čim račun omogoča dostop na daljavo do sistemov, podatkov ali infrastrukture stranke, nadzorni organi in naročniki pričakujejo več kot samo geslo. To velja za lastno osebje, za podizvajalce in za začasni dostop, ki se po zaključku projekta odvzame. Kjer je ta pričakovanje manj strogo, je pri notranji dostopi z nizkim tveganjem, ki ni dosegljiva od zunaj. To je meja, ki jo članek podrobneje razlaga.
Zakaj se MFA pojavljalja v skoraj vsakem vprašalniku
Kot ponudnik storitev IKT ste pogosto tista stranka, ki se za stranko prijavlja na daljavo, izvaja posodobitve ali odpravljate napake. Ravno ta pot dostopa je privlačna za napadalca: eno ukradeno geslo lahko daje dostop do več strank naenkrat. Naročniki, ki sami padajo pod obveznost skrbi, morajo oceniti svoje dobavitelje, in večfaktorska overitev na dostop na daljavo je pri tem ena prvih zahtev. Kdor na to nima odgovora, opazi, da se vprašalniki podaljšajo ali da pogodba stoji na čakanju.
v nekaj vprašanjih vidite, ali je vaša organizacija vpletena v verigo daje prvi vtis, kako težke lahko te zahteve padejo na vas. Za podjetje majhne in srednje velikosti, ki je ponudnik storitev za več podjetij, ki so zavezana k obveznostim, je velika verjetnost, da se isto vprašanje vedno znova pojavi, le v malo drugačnih besedah.
Kje se MFA strukturno pričakuje
Tri poti dostopa se v praksi najpogosteje pojavljajo kot mesto, kjer mora biti večfaktorska overitev. Prvič upravljanje na daljavo: vsaka povezava, s katero se upravitelj izvira izven omrežja lahko poveže na sistem, vključno z dostopom VPN in povezavami za oddaljeni namizni dostop. Drugič dostop do sistemov strank: računi, ki so posebej ustvarjeni za prijavo k naročniku, zlasti kadar ta dostop daje pravice upravljavca. Tretjič podizvajalci in zunanje stranke, ki v vaše ime opravljajo delo pri stranki; njihov dostop je pod isto pričakovanje, čeprav podizvajalec sam ne stoji neposredno v vprašalniku.
Pri teh treh kategorijah je vzorec vedno isti: kako dlje je dostop od lastnega, fizično zaščitenega omrežja, tem močnejše je pričakovanje, da je prisotna druga stopnja overitve.
Kje je razprava še odprta
Znotraj lastnega pisarniškega omrežja, za račun, ki deluje samo lokalno in brez zunanjega povezovanja, je potreba po MFA manj jasna. To ne pomeni, da je nima pomena, ampak da se vprašanje tam bolj nanaša na tveganje in sorazmernost kot na trdo normo. Enaka niansa velja za skupne funkcijske račune, ki niso vezani na posameznike: ti zahtevajo drugačno rešitev kot drugo stopnjo na osebo, na primer z odpravo samega računa v prid osebnim poverilom.
To je kategorija, s katero se organizacije najpogosteje borijo, ko pride vprašalnik o varnosti: ne jasni primeri, ampak sistemi, ki so nekje vmes. preberite razlago za vsako situacijo pomaga videti, v katero kategorijo bo verjetno spadata določen sistem, brez da bi pred tem prebrali celoten akt.
Kaj to pomeni za lastni dosje
Za izpolnjevanje obveznosti skrbi ni dovolj le, da je večfaktorska identifikacija vzpostavljena, temveč tudi, da je to dokazljivo: kdo je sprejel odločitev, na katerih sistemih je vključena, in kakšen je status sistemov, kjer še manjka. To je natanko vrsta dokumentacije, ki jo zahteva živi dosje namesto enkratnega ukrepa. Če ste v dvomih glede tega, kako strogo je treba oceniti dostop, sta nadzorni organ ali pravnik pravi sogovornik za oceno v vaši situaciji; ta razlaga je namenjena, da vprašanje postane jasnejše, ne pa da ga nadomesti.
Radovedni, kako se ta tema pojavi v vašem lastnem dossierju? preberi, od kje izvirajo informacije na secria.eu prikazuje, kako vodimo viri, in brezplačna NIS2-presoja daje v nekaj minutah prvi pregled, kje ste.