Večtavno preverjanje, pogosto označevano kot MFA, je druga kontrola poleg gesla: koda iz aplikacije, SMS ali fizični ključ. Vprašanje, ali je to obvezno za podjetje, ki razvija programsko opremo, ni mogoče odgovoriti s preprostim da ali ne, ker Direktiva NIS2 ne predpisuje nobene specifične tehnike. Člen 21 od organizacij, ki spadajo pod obveznost skrbi, zahteva ustrezne ukrepe za nadzor dostopa in večtavno preverjanje; nadzorni organi pri tem gledajo, kje je tveganje največje.
Pri podjetju, ki razvija programsko opremo, sta to v praksi dva zelo različna mesta: razvojna linija, s katero vi sami delate, in programska oprema, ki jo izročate strankam. Obe zahtevata lastno presojo, in ta presoja ni povsod enako stroga.
Dva mesta, kjer je večtavno preverjanje pomembno
Prvo mesto je interno: okolje, v katerem delajo vaši razvijalci. Izvorna koda, razvojna linija, konzole v oblaku in sistemi, s katerimi izročite v produkcijo. Drugo mesto je v samem izdelku: če ima programska oprema, ki jo gradite ali izročate, prijavni zaslon, je večtavno preverjanje tudi tam predmet obravnave, tako za vaše lastne uporabnike kot za končne uporabnike vaše stranke. Vprašalnik o varnosti naročnika skoraj vedno sprašuje o oboje, pogosto v ločenih vprašanjih, ki so oblikovana drugače, kot bi pričakovali.
Pri dostopu do vaše razvojne linije
Tu je pričakovanje najbolj izrazito. Kdor ima dostop do izvorne kode, kdor lahko vnaša v produkcijo in kdor ima pravice skrbnika v okolju v oblaku, predstavlja največje tveganje, če je geslo le ukradeno ali ponovno uporabljeno. Za te račune velja večtavno preverjanje v skoraj vsakem ogrodju za varnost kot temeljni ukrep, in to je tudi tisto, kar nadzorni organi in stranke najprej pričakujejo. Upravljanje verzij, razvojna linija sama, in posebej vsak račun s pravicami za vnos kode v produkcijo, sodijo v praksi brez izjeme za drugo stopnjo.
K temu spada tudi pogled na to, kdo ta dostop pravzaprav še potrebuje. Dossier, v katerem je za vsak sistem navedeno, kdo ga sme uporabljati in zakaj, olajša odgovor na to vprašanje v vprašalniku s konkretnim odgovorom namesto s predpostavko. kako se nadzor dostopa in večtavno preverjanje pojasnjujeta po temah tam daje izhodišče.
Pri programski opremi, ki jo izročate
Druga ravnina je sama programska oprema. Če ima vaš izdelek funkcijo prijave, se vprašanje, ali ponujate večtavno preverjanje, v vprašalniku o varnosti pojavi skoraj vedno, včasih pa tudi kot pogoj v pogodbi. To je drugačna presoja kot pri vaši lastni razvojni liniji: tu ne gre za to, kaj vi sami uporabljate, temveč za to, kar izročate svojemu stranki. Naročnik, ki sam sodi pod obveznost skrbi, mora po členu 21 oceniti tudi svojo toeleveringsketo, in vprašanje, ali vaš izdelek podpira močno preverjanje, k temu spada.
Odgovor ni nujno, da je to povsod obvezno vključeno. Pogosto je dovolj, da pokažete, da je možnost obstaja, da se uporabnike spodbuja k temu in da imate načrt za razširitev tam, kjer je tveganje to upravičuje.
Kje je manj samoumevno
Ni vsak račun ali okolje zahteva enako težo. Testno okolje brez resničnih podatkov strank, notranji sistem dokumentacije samo za branje ali samostojen pripomoček, ki ga uporablja en razvijalec občasno, so drugače ovrednoteni kot račun s pravicami dostopa do produkcije. Obveznost skrbi zahteva ukrepe, ki so sorazmerni s tveganji, ne da bi povsod uporabili enako težo varnostnega sloja. Nadzorniki to presojajo na osnovi sorazmernosti, kar pomeni, da je utemeljena odločitev, da negdje ne uvede večfaktorske avtentikacije, lahko enako dobra vsebina v datoteki kot mesta, kjer je ta ukrep vključen.
Utemeljitev je tu ključna beseda. Odločitev brez razlage v vprašalniku deluje hitro kot opustitev, medtem ko ista odločitev s kratko razlago je pogosto natanko tisto, kar naročnik pričakuje.
Kaj to pomeni za pogovor z naročnikom
Naročnik, ki pošlje vprašalnik, si običajno ne želi vedeti, ali izpolnjate vsako črko zahtev, temveč ali veste, kje so vaša tveganja, in ali se z njimi zavestno spopadate. Za večfaktorsko avtentikacijo to pomeni: pokazati, kaj je nastavljeno na razvojni veji, kaj je v proizvodu in zakaj je ostalo drugače konfigorirano. Kdor to vsakič dokumentira s statusom in lastnikom, ne mora ponovno iskati odgovora, ko prispe naslednji vprašalnik.
Ali in kako se to natanko odraža v vaši organizaciji, je odvisno od vaše vloge v torej in od tega, kaj konkretno sprašujejo vaši stranki; ob dvomih se obrnite na besedilo richtlije ali svetovalca. Če želite najprej izvedeti, kje ste, brezplačna preverka v nekaj vprašanjih daje prvo nakazjo, in razlago, od kje izvirajo podatki prikazuje, kako je ta nakazja nastala.
Če želite bolj temeljito prebrati, kako se ta tema povezuje z drugimi ukrepi obveznosti skrbi, to najdete v pregledu vsebin po situaciji. Hitrni pregled in banka znanja sta prosto dostopna brez potrebe po računu.