Večfaktorska avtentifikacija, ki se ji reče tudi dvostopenjska avtentifikacija ali MFA, pomeni prijavo s stvar, ki jo veste (geslo) in stvar, ki jo imate (koda na telefonu, ključ ali aplikacija). Za instalacijska podjetja, ki spadajo pod obveznosti skrbnosti NIS2 ali pa kot dobavitelj dobijo vprašalnik o varnosti, je to eno najbolj pogostih vprašanj: je to obvezno povsod ali samo na določenih mestih?
Kratek odgovor: obveznosti skrbnosti ne predpisujejo tehnologije, temveč zahtevajo ukrepe, ki so primerni tveganju. Za sisteme, ki so dostopni na daljavo, kot so e-pošta, vaš sistem ERP, povezava VPN ali nadzorna plošča vaše programske opreme za načrtovanje in fakturiranje, se večfaktorska avtentifikacija običajno šteje za osnovni ukrep. Za dostop do stavbe, ključavnice ali sistema pri stranki na mestu je situacija bolj niansirana in tu se za marsikatero instalacijsko podjetje pojavi praktično vprašanje.
Kje se večfaktorska avtentifikacija običajno pričakuje
Jedro utemeljevanja je preprosto: čim bolj je sistem oddaljen od vaše pisarne in čim bolj so občutljivi podatki za njim, tem močnejša zaščita, ki ji mora ustrezati. Montažer, ki se prijavi v podjetniško omrežje s telefona, pisarniški zaposleni, ki ima dostop do administracije od doma, ali vodilni delavec, ki ima dostop do načrtovanja na daljavo: to so vsa mesta, kjer je samo geslo ranljivo za ribarjenje ali ponovno uporabo uhlapljenih poverilnic. Večfaktorska avtentifikacija omogoči, da ukradeno geslo ne bo dovolj za vstop.
Enako velja za račune s povečanimi pravicami: upravljavec omrežja, lastnik računalniške okolice ali oseba, ki je lahko potrdi račune. Prav ti računi so za napadalca najbolj dragoceni in prav tam se pogosto najprej sprašuje v varnostnem vprašalniku naročnika. Tisti, ki si želijo več izvedeti o tem, kaj se v njem dejansko pojavi, to najdejo na strani o temah, ki so razdelane po sektorjih.
Kje je situacija bolj nuansirana: sistemi pri strankah na mestu
Instalacijska podjetja pogosto delujejo na mestu: pri stranki doma, v poslovnem objektu ali na gradbišču. Tam nastanejo situacije, ki se ne dajo primerjati ena proti ena s pisarniškimi deli. Montažer, ki se mora prijavi v stavbni sistem upravljanja stranke, pogosto uporablja poverilnice, ki jih upravlja sama stranka in ne tiste njene lastne podjetje. Vprašanje, kdo tam uredi večfaktorsko avtentifikacijo in kdo jo nadzira, je prvo in predvsem v domeni lastnika tega sistema, ne instalacijskega podjetja, ki ima tam za čas dostop.
Tudi skupna oprema v poslovnem vozičku, na primer tablični računalnik, ki ga uporablja več montažerjev, je praktičen primer, v katerem se stroga zahteva MFA lahko sočasno sooča z delavo na terenu. To ne pomeni, da se varnost tam izgubi, pač pa da je lahko izvedba drugačna: na primer kratko trajanje seje, ločen račun na montažerja namesto skupnega računa ali dostop, ki se samodejno konča po delu. Nadzorniki in naročniki pri tem gledajo predvsem na to, ali je bila spr deljeva premislek, ne pa na to, ali je bila povsod uporabljena enaka tehnična rešitev.
Razlikovanje med fizičnimi ključi in dostopom do zgrada po eni strani ter dostopom do digitalnih sistemov po drugi strani je tudi to, o katerem instalacijska podjetja pogosto postavljajo vprašanja. Tisti, ki si to temo želi podrobneje pregledati, bo razdelavo tega, kdo kaj lahko dostopa v branši, našel na strani o upravljanju dostopa v industriji.
Kaj to pomeni za pogovor z naročnikom
Vprašalnik o varnosti pogosto postavlja enostavno vprašanje da/ne o večfaktorski avtentikaciji, medtem ko je praksa bolj niansirana. Pomaga, če lahko za vsak sistem pokažete, kje je večfaktorska avtentikacija, zakaj je bila izbrana tam, in kako se ravna z izjemami. To je natanko tisto, kjer ima živajoči dosje vrednost: ne le kljukica pri ukrepu, temveč dokazilo in lastnik na sistem, tako da je odgovor na vprašalnik pravilen in utemeljen.
Ali je vaše podjetje predmet dolžnosti varstva, vplivanja skozi dobavno verigo ali nič od tega, je mogoče videti z nekaj vprašanji prek brezplačnega pregleda, ki preslika vašo situacijo. Za tiste, ki natančno želijo vedeti, kako secria.eu do svoje informacije in viri se uporabljajo, je to pojasnjeno na strani o tem, kako deluje platforma. In za konkretna vprašanja o tem, kaj spada in kaj ne spada pod dolžnost varstva, je na voljo pregled z odgovori na vprašanja, ki jih instalacijska podjetja pogosto postavljajo.
Večfaktorska avtentikacija ni cilj sam po sebi, temveč ena od gradnikov v dosjeeju, ki kaže, da je dostop do sistemov premišljeno urejen. Za situacijo vašega lastnega podjetja s svojimi sistemi in načinom dela na lokaciji ostaja potrebna lastna presoja; baza znanja in hiter pregled vam pomagata pri tej presoji s pravimi informacijami.