Večfaktorska avtentikacija — pogosto okrajšana kot MFA, dodatni pregled poleg gesla, na primer koda na telefonu — ni dobesedno navedena kot obveznost v Direktivi NIS2 ali Zakonu o kibernetski varnosti. Kar je dejansko navedeno v varnostni obveznosti člena 21, je, da organizacije sprejmejo ustrezne tehnične in organizacijske ukrepe za zaščito dostopa in druge namene. Za večino pisarniških sistemov, oblačnih aplikacij in zunanjega dostopa v kovinski in proizvodnji industriji to v praksi skoraj vedno pomeni: da, večfaktorska avtentikacija spada sem. Za stroje in operacijske sisteme na proizvodnem mestu je bolj odtenkan vidik, ki ga je ta članek natančnejši.
Razlika je v tem, kaj je sistem tehnično zmožen in kakšno je tveganje, če samo geslo ni dovolj. Prijavni portal za delo od doma ali oblačna administracija lahko skoraj vedno doda dodatni korak preverjanja. Dvajset let star PLC-konzolni sistem na proizvodnem mestu pogosto ne more, in takrat se vprašanje premakne od "MFA ali ne" k "kateri drug ukrep to nadomešča".
Kaj varnostna obveznost pričakuje od vas
Varnostna obveznost ne našteva fiksnega seznama izdelkov ali blagovnih znamk. Nadzorni organi in sama Direktiva govorijo o ukrepih, ki se prilagajajo tveganjem, stanju tehnike in stroškom izvajanja. Zaščita dostopa je pri tem ena od ponavljajočih se tem: kdo sme kam dostopati, kako se to preverja, in kaj se zgodi, če je geslo ukradeno ali uganljivo. Večfaktorska avtentikacija je trenutno eden najbolj razširjenih načinov za odgovor na to vprašanje in se zato pojavlja v praktično vsakem izvajanju tega ukrepa, ki ga srečamo — tudi pri nadzornih organih v drugih državah članicah. Kako je to natančno prevedeno v vašo državo in kakšno dodatno razlago pri tem daje nadzorni organ, lahko spremljate prek pregleda izvajanja po posameznih temah.
Kje se večfaktorska avtentikacija običajno pričakuje
V kovinskem ali proizvodnjem podjetju so mesta, kjer je to najbolj naravno, pogosto enaka: dostop do oblačnega okolja in administracije, pošte zaposlenih, zunanji dostop prek VPN za tiste, ki delajo na daljavo, in predvsem računi z upravičenji za upravljanje — IT-upravljavec, upravljavec sistema ERP-paketa, oseba, ki ima dostop do varnostnih kopij. Ravno tisti upravljavski računi so privlačni za napadalca, ker ukradeno geslo takoj omogoči dostop do veliko več kot samo enega poštnega predala. Naročniki, ki pošljejo vprašalnik o varnosti, skoraj vedno eksplicitno vprašajo tukaj, in prazen odgovor na to vprašanje je ponavadi težje razložiti kot pošten "še ne povsod, s tem časovnim načrtom".
Kje proizvodni sistemi zahtevajo drugačen pristop
Proizvodno mesto je drugačna zgodba. CNC-stroj, SCADA-sistem ali PLC, ki traja desetletja, pogosto ni zgrajen z zaslonon za prijavo, ki bi podpiral drugi korak preverjanja. Tu varnostna obveznost ne zamenja nemogoče z obveznostjo, temveč premakne pozornost na druge dopolnilne ukrepe: sistem ločiti v ločen omrežni segment, fizični dostop do upravljalne sobe omejiti in dobro dokumentirati, kdo je kdaj dostopal do katerega stroja. Segmentacija — ločevanje proizvodnega omrežja od pisarniškega omrežja — je v takih primerih pogosto ukrep, ki zapolni vrzel, ki jo večfaktorska avtentikacija zapre drugje. Kadar je stroj dejansko povezan s poslovnim omrežjem, na primer za oddaljeno spremljanje ali posodobitve programske opreme, se ta povezava sama šteje kot tveganje, ki zahteva pozornost, čeprav to ne spremeni tehnike samega stroja.
Kako to razlikovanje izvesti v praksi
Koristen prvi korak je pregled vseh sistemov, ki omogočajo dostop do poslovnih podatkov ali proizvodnih procesov, z vprašanjem za vsak sistem: ali je ta tehnično zmožen več dejavnikov za preverjanje identitete, in če ne, kaj mu namenimo namesto tega. Ta pregled je natanko tam, kjer ima živi register svojo vrednost, ker se lahko en odgovor od danes spremeni z nadgradnjo programske opreme jutri. Ne glede na to, ali vaša organizacija sama spada pod obveznosti za upravljanje tveganja ali pa to vprašanje dobite, ker ga zahteva naročnik, v petih vprašanjih vidi, kje stese lahko vprašate tudi o pojmih, kot sta segmentacija ali račun za upravljanje, tam pa odgovori na pogosta vprašanja čakajo.
Več dejavnikov za preverjanje identitete torej ni kartica, ki jo lahko zaznati povsod enako, ampak ukrep, ki dobije različno vsebino za vsak sistem. Za vašo lastno situacijo in za vprašanje, ali je posebna izjema za vaše naprave vzdržna nasproti naročniku ali nadzornemu organu, ostajata pravni nasvet ali posvet z nadzornim organom priporočeni poti — secria.eu opisuje, kaj se uporablja, in pomaga, da se to zadrži, vendar se ne izjavlja o vaši individualni situaciji.
Ali želite, da se ta pregled prikaže za vaše podjetje, vključno s sistemi, ki pri vas pride ali ne pride v poštev? Opravite brezplačno hitro preverjanje ali najprej preberite teme.