Multifaktorautentisering, även kallad tvåfaktorsautentisering eller MFA, är inloggning med något du vet (ett lösenord) och något du har (en kod på din telefon, en nyckel eller en app). För installationsföretag som omfattas av NIS2-skyddsplikt eller som leverantör får en säkerhetsfrågeformulär, är detta en av de mest ställda frågorna: måste det gälla överallt, eller endast på vissa ställen?
Det korta svaret: skyddsplikt föreskriver ingen teknik, men kräver åtgärder som motsvarar risken. För system som är tillgängliga på distans, såsom e-post, ditt ERP-system, VPN-anslutningen eller administrationspanelen för din planerings- och faktureringsprogramvara, betraktas multifaktorautentisering vanligtvis som en grundläggande åtgärd. För åtkomst till en byggnad, ett nyckelskåp eller ett system hos en kund på plats är situationen mer nyanserad, och där ligger den praktiska frågan för många installationsföretag.
Var multifaktorautentisering vanligtvis förväntas
Skälet till resonemanget är enkelt: ju längre ett system är från ditt eget kontor, och ju känsligare uppgifterna bakom det är, desto tyngre bör motsvarande skydd vara. En installatör som loggar in på företagsnätverket från sin telefon, en kontorsanställd som kan nå administrationen hemifrån, eller en chef som kan komma åt planeringen på distans: dessa är alla punkter där ett lösenord ensamt är sårbar för nätfiske eller återanvändning av läckta inloggningsuppgifter. Multifaktorautentisering gör att ett stulet lösenord inte är tillräckligt för att komma in.
Detsamma gäller konton med utökade rättigheter: nätverksadministratören, ägaren av molnmiljön, eller den som kan godkänna fakturor. Just dessa konton är mest värdefulla för en angripare, och det är ofta här som efterfrågan först kommer i en säkerhetsfrågeformulär från en uppdragsgivare. Den som vill veta mer om vad som exakt ingår där hittar det på sidan om de ämnen som är utarbetade per sektor.
Där det är mer nyanserat: system hos kunder på plats
Installationsföretag arbetar ofta på plats: hos en kund hemma, på ett företagslokaler eller på en byggarbetsplats. Där uppstår situationer som inte är direkt jämförbara med kontorsarbete. En installatör som måste logga in på kundens byggnadsövervakningssystem använder ofta inloggningsuppgifter som kunden själv hanterar och inte sådana från sitt eget företag. Frågan om vem som ordnar multifaktorautentisering där, och vem som övervakar det, ligger då i första hand hos ägaren av systemet, inte hos installationsföretaget som tillfälligt har åtkomst till det.
Även delad utrustning i en företagsbil, såsom en surfplatta som används av flera installatörer, är ett praktiskt fall där ett strikt MFA-krav kan strida med genomförbarheten på vägen. Det betyder inte att säkerhet försvinner där, men att utförandet kan vara annorlunda: till exempel en kort sessionslängd, ett separat konto per installatör i stället för ett delat konto, eller åtkomst som automatiskt upphör efter arbetet. Tillsynsmyndigheter och uppdragsgivare tittar huvudsakligen på om det har gjorts en medveten bedömning, inte på om exakt samma tekniska lösning har tillämpats överallt.
Skillnaden mellan fysiska nycklar och byggnadsåtkomst å ena sidan och digital åtkomst till system å andra sidan är också något som installationsföretag ofta får frågor om. Den som vill utforska detta ämne mer omfattande hittar en genomgång av vem som får göra vad på sidan om åtkomstkontroll i branschen.
Vad detta innebär för samtalet med en uppdragsgivare
En säkerhetsfrågelista ställer ofta en enkel ja/nej-fråga om MFA, medan praktiken är mer nyanserad. Det hjälper att kunna visa per system var multifaktoriell autentisering är implementerad, varför det valdes där och hur undantag hanteras. Det är precis där ett levande register tillför värde: inte bara en bockmark vid en åtgärd, utan ett bevisstycke och en ägare per system, så att svaret på frågelistan stämmer och är väl underbyggt.
Huruvida ditt företag omfattas av den skyddsplikt, påverkas via leverantörskedjan eller inte påverkas alls, framgår med ett par frågor via den kostnadsfria kontroll som kartlägger din situation. För den som precis vill veta hur secria.eu får fram sin information och vilka källor som används, förklaras det på sidan om hur plattformen fungerar. Och för konkreta frågor om vad som omfattas respektive inte omfattas av skyddsplikten, finns det en sammanfattning med svar på frågor som installationsföretag ofta ställer.
Multifaktoriell autentisering är inte ett mål i sig, utan en av byggstenarna i ett register som visar att åtkomsten till system är välöverlagd. För situationen i ditt eget företag, med dess egna system och arbetssätt på plats, krävs fortfarande en egen bedömning; kunskapsbanken och snabbkontrollen hjälper till att göra denna bedömning med korrekt information.