Се ли използва многофакторна аутентификация за достъп до корпоративни системи?

MFA е дванадесетата експлицитна мярка на член 21, параграф 2

Да, този въпрос се отнася до буквално посочена част от списъка на NIS2: член 21, параграф 2, точка j споменава "използването на решения за многофакторна аутентификация или непрекъсната аутентификация" поименно. Това прави този въпрос различен от повечето други в такъв списък — няма място за интерпретация относно това, което се има предвид, само относно въпроса дали е внедрено и къде.

Практиката се крие в обхвата, не в принципа. Клиент, който пита дали се използва MFA, обикновено има предвид: важи ли това за целия достъп до корпоративни системи, или само за част от него? MFA на VPN, но не на облачни приложения, или на администраторски сметки, но не на обикновени потребители, е различен отговор от просто да. Този компонент е тясно свързан с установеното правило на достъпа и управлението на корпоративни активи: без обзор на кои системи съществуват и кой има достъп до тях, "използвана ли е MFA" не е да-или-не въпрос, а въпрос с процент. Този, който знае отговора само за собствения лаптоп и не знае за сървърната среда, отговаря фактически за подмножество.

Където е посочено в директивата: член 21 параграф 2 буква j

Член 21 параграф 2 на Директива (EU) 2022/2555 изброява десет мерки, които субектите трябва да предприемат като част от управлението на техния риск; буква j споменава специално многофакторното удостоверяване или непрекъснатото удостоверяване, наред с криптирана комуникация и защитена аварийна комуникация. Тази мярка не е изолирана: параграф 1 на същия член изисква цялото да е пропорционално на риска, мащаба и вероятността от инциденти, което оставя място за етапна подготовка, докато това е установено политически. Дали MFA е задължително за предприятието, което попълва, зависи от дали предприятието попада под директивата като субект — доставчик, който сам не попада под NIS2, получава този въпрос само защото неговият клиент е така и трябва да запита по веригата.