Är multifaktorautentisering (MFA) obligatorisk för en ICT-tjänsteleverantör? Det finns inget kort svar, och det är precis därför denna fråga återkommer så ofta hos tillsynsmyndigheter, uppdragsgivare och i säkerhetsfrågelistor. NIS2-direktivet nämner multifaktorautentisering eller kontinuerlig autentisering uttryckligen som exempel på en åtgärd som hör till åtgärdskravet, men föreskriver inte på vilket system, för vem och vid vilken tidpunkt detta måste gälla. Den utformningen ligger på organisationen själv, och det gör ämnet svårare än ett enkelt ja eller nej.
Vad som är klart är: så snart ett konto ger fjärråtkomst till kundens system, data eller infrastruktur förväntar tillsynsmyndigheter och uppdragsgivare att det finns mer än bara ett lösenord. Det gäller för egen personal, för underleverantörer och för tillfällig åtkomst som återkallas efter ett projekt. Där förväntningen är svagare är vid intern, lågriskåtkomst som inte är tillgänglig från utsidan. Där ligger gränsen som denna artikel utvecklar vidare.
Varför MFA återkommer i nästan varje frågelista
Som ICT-tjänsteleverantör är du ofta den part som loggar in på distans för en kund, utför uppdateringar eller åtgärdar fel. Just denna åtkomstväg är attraktiv för en angripare: ett stulet lösenord kan då ge åtkomst till flera kundmiljöer samtidigt. Uppdragsgivare som själva är föremål för åtgärdskravet måste bedöma sina leverantörer, och multifaktorautentisering på fjärråtkomst är en av de första sakerna som frågas. Den som inte har något svar på detta märker att frågelistor tar längre tid eller att ett kontrakt blir stängd.
i några få frågor se om din organisation påverkas via leverantörskedjan ger en första indikation av hur tungt denna typ av krav kan väga på er. För en liten eller medelstor tjänsteleverantör som arbetar för flera obligatoriska kunder är det troligt att samma fråga återkommer upprepade gånger, bara med något annorlunda formulering.
Där MFA strukturellt förväntas
Tre åtkomstvägar dyker upp oftast i praktiken som platser där multifaktorautentisering bör finnas. För det första fjärradministration: varje anslutning genom vilken en administratör utifrån nätverket kan nå ett system, inklusive VPN-åtkomst och fjärrskrivbordsanslutningar. För det andra åtkomst till kundsystem: konton som specifikt skapats för att logga in hos en uppdragsgivare, särskilt när denna åtkomst ger administratörsrättigheter. För det tredje underleverantörer och externa parter som utför arbete för er hos en kund; deras åtkomst omfattas av samma förväntning, även om underleverantören själv inte direkt förekommer i frågelistan.
Vid dessa tre kategorier är mönstret alltid detsamma: ju längre bort åtkomsten är från ens eget, fysiskt skärmat nätverk, desto starkare är förväntningen att ett andra verifieringssteg är närvarande.
Där diskussionen fortfarande är öppen
Inom ett eget kontorsnätverk, för ett konto som bara fungerar lokalt och utan extern koppling, är nödvändigheten av MFA mindre entydig. Det betyder inte att det är oviktigt, snarare att bedömningen där handlar mer om risk och proportionalitet än om en hårt satt norm. Samma nyans gäller för delade funktionskonton som inte är kopplade till en individ: dessa kräver en annan lösning än ett andra steg per person, till exempel genom att avskaffa kontot till förmån för personliga inloggningsuppgifter.
Det är denna kategori som organisationer oftast brottas med när en säkerhetsfrågelista anländer: inte de tydliga fallen, utan de system som hamnar någonstans däremellan. läs igenom förklaringen för varje situation hjälper till att se i vilken kategori ett specifikt system sannolikt faller, utan att du först behöver läsa hela direktivet.
Vad detta betyder för din egen dokumentation
För åtgärdsplikten räknas inte bara om MFA är aktiverad, utan också om det är påvisbart: vem fattade beslutet, på vilka system är det aktiverat, och vad är statusen för systemen där det ännu saknas. Det är precis den typ av dokumentation som en levande dokumentation kräver istället för en engångsåtgärd. Om du är osäker på hur streng en specifik åtkomst bör bedömas, är tillsynsmyndigheten eller en jurist den lämpliga part för att bedöma det för din situation; denna förklaring är avsedd att göra frågan tydligare, inte att ersätta den.
Nyfiken på hur detta ämne hamnar i din egen dokumentation? läs var informationen på secria.eu kommer från visar hur vi underhåller källor, och den kostnadsfria NIS2-kontrollen ger en första bild av var du står på ett par minuter.