Flerfaktorsautentisering — ofta förkortat som MFA, en extra kontroll utöver lösenordet, till exempel en kod på telefonen — är inte ordagrant en obligatorisk åtgärd i NIS2-direktivet eller Cybersäkerhetslagens bestämmelser. Vad som däremot anges i skyddsåtgärdsplikten i artikel 21 är att organisationer vidtar lämpliga tekniska och organisatoriska åtgärder för bland annat åtkomstkontroll. För de flesta kontorssystem, molnapplikationer och fjärråtkomst i metall- och tillverkningsindustrin betyder det i praktiken nästan alltid: ja, flerfaktorsautentisering bör ingå. För maskiner och styrsystem på produktionsgolvet är det mer nyanserat, och denna artikel går närmare in på det.
Skillnaden ligger i vad ett system tekniskt kan klara av och vilken risk det är om ett lösenord visar sig vara otillräckligt. En inloggningsportal för distansarbete eller en molnadministration kan nästan alltid hantera ett extra verifieringssteg. En tjugo år gammal PLC-konsol på produktionsgolvet ofta inte, och då förskjuts frågan från "MFA eller inte" till "vilken annan åtgärd kompenserar för detta".
Vad skyddsåtgärdsplikten förväntar av er
Skyddsåtgärdsplikten ger ingen fast lista över produkter eller varumärken. Tillsynsmyndigheter och själva direktivet talar om åtgärder som motsvarar riskerna, teknikens utvecklingsstand och genomförandekostnaderna. Åtkomstkontroll är ett av de återkommande ämnena här: vem får tillgång till vad, hur kontrolleras det, och vad händer om ett lösenord blir stulet eller gissat. Flerfaktorsautentisering är för närvarande ett av de vanligaste sätten att besvara den frågan, och återkommer därför i nästan varje genomförande av denna åtgärd som vi stöter på — även hos tillsynsmyndigheter i andra medlemsländer. Hur detta exakt har genomförts i ert land, och vilken ytterligare vägledning tillsynsmyndigheten ger, kan ni läsa via gå igenom genomförandet per ämne.
Där flerfaktorsautentisering vanligtvis förväntas
I ett metall- eller tillverkningsföretag är de ställen där detta är mest relevant ofta desamma: åtkomst till molnmiljön och administrationen, medarbetarnas inkorgar, fjärråtkomst via VPN för den som arbetar på distans, och framför allt kontona med administrativa rättigheter — IT-administratören, ERP-systemadministratören, den som kan nå säkerhetskopior. Just dessa administrativa konton är attraktiva för en angripare, för ett stulet lösenord ger omedelbar åtkomst till mycket mer än en inkorg. Uppdragsgivare som skickar en säkerhetsfrågelista frågar nästan alltid explicit om detta, och ett tomt svar på den frågan är vanligtvis svårare att förklara än ett ärligt "ännu inte överallt, enligt denna tidsplan".
Där produktionssystem kräver ett annat tillvagagångssätt
Produktionsgolvet är en annan historia. En CNC-maskin, ett SCADA-system eller en PLC som varar i årtionden byggdes ofta inte med en inloggningsskärm som stöder ett andra verifieringssteg. Här ersätter skyddsåtgärdsplikten inte det omöjliga med en obligation, utan förskjuter fokus till andra, kompletterande åtgärder: att isolera systemet i ett eget nätverkssegment, begränsa fysisk åtkomst till driftsutrymmet, och noggrant dokumentera vem som hade åtkomst till vilken maskin och när. Nätverkssegmentering — att separera produktionsnätverket från kontorsnätverket — är i sådana fall ofta den åtgärd som fyller det gap som flerfaktorsautentisering tätar på andra ställen. Om en maskin faktiskt är ansluten till företagsnätverket, till exempel för fjärrövervakning eller programuppdateringar, räknas den anslutningen själv som en risk som kräver uppmärksamhet, även om det inte ändrar något på maskinens teknik.
Hur ni gör denna åtskillnad i praktiken
Ett användbart första steg är en inventering av alla system som ger åtkomst till affärsdata eller produktionsprocesser, med följande fråga för varje system: kan detta tekniskt genomföra multifaktorautentisering, och om inte, vad gör vi istället? Denna inventering är exakt där ett levande register bevisar sitt värde, eftersom ett svar från idag kan ändras av en programuppdatering imorgon. Oavsett om din organisation själv omfattas av säkerhetskraven eller om du får denna fråga för att en uppdragsgivare kräver det, kan du fem frågor visar var du stårÄr du osäker på begrepp som nätverkssegmentering eller administratörskonton, finns där också svar på vanliga frågor tillgängligt.
Multifaktorautentisering är alltså inte en bockruta som ser likadan ut överallt, utan en åtgärd som får en olika utformning för varje system. För din egen situation, och för frågan om ett specifikt undantag för dina maskiner är försvarbart gentemot en uppdragsgivare eller tillsynsmyndighet, är juridisk rådgivning eller samråd med tillsynsmyndigheten den lämpliga vägen framåt — secria.eu beskriver vad som är tillämpligt och hjälper till att dokumentera det, men gör ingen bedömning av din individuella situation.
Vill du se denna inventering för ditt eget företag, inklusive de system som gäller respektive inte gäller för dig? Gör den kostnadsfria snabbkontroll eller läs igenom ämnena först.