питат дали нашите служители влизат с един логин във всичко

SSO е мярка за удостоверяване, не отделно изискване на NIS2

Единичният вход (SSO) не е отделен пост в член 21, параграф 2 на Директивата NIS2. Въпросът трябва да бъде място под политика за достъп: как регулирате кой има достъп до кой система и как контролирате това. SSO е средство в този контекст, не цел — отговорът, който попълвате, трябва да се отнася до това, което SSO решава във вашата среда, не за самия инструмент.

Важно е да проверите преди да попълните "да": използва ли попитвам ли се "SSO" като синоним за централизирано управление на самоличност (един IdP, например Azure AD или Okta, за повечето бизнес приложения), или всъщност пита за нещо различно, което е случайно формулирано по този начин? Много формати задават този въпрос като подход към следващия въпрос за многофакторна удостоверяване — ако кажете "да" на SSO, но нямате MFA на IdP, това от гледна точка на одитор е частична мярка. Проверете това заедно с въпроса относно многофакторната удостоверка преди да потвърдите отговора. Ако имате SSO само на част от системите — например на SaaS приложения, но не на локалната старинна среда — то нюансиран отговор с обяснение е по-точен от голо "да".

Политика за достъп и Приложение A дават точната точка за намиране

Обоснованието минава през два пътя. В Директивата NIS2 удостоверяването попада под мерките на член 21, параграф 2, по-специално под точка (i), относно контрол на достъпа и управление на корпоративни ресурси — там е по-широката политика за достъп точката на свързване във вашия файл на веригата. Който работи с ISO/IEC 27001, ще намери SSO като изпълнение на контролните мерки в Приложение A около управление на самоличност и удостоверяване (A.5.15 до A.5.18 в версията от 2022). Ако нямате сертификат, това само по себе си не е проблем за този отговор — въпросът относно SSO е независим от въпросът дали сте сертифицирани. Законът за кибербезопасност, който преобразува NIS2 в Нидерландия, не добавя отделно изискване за SSO по този въпрос; той отнася изпълнението към същите десет мерки от член 21, параграф 2.