ptají se, zda se naši zaměstnanci přihlašují jedním přihlášením ke všemu

Jednotné přihlašování je autentizační opatření, nikoli samostatný požadavek NIS2

Jednotné přihlašování (SSO) není uvedeno jako samostatná položka v čl. 21 odst. 2 směrnice NIS2. Otázka spadá pod zásady řízení přístupu: jak určíte, kdo má přístup k jakému systému a jak to kontrolujete. SSO je přitom prostředek, nikoli cíl — odpověď, kterou vyplníte, by se tedy měla týkat toho, co SSO ve vašem prostředí řeší, nikoli samotného nástroje.

Důležité zkontrolovat předtím, než vyplníte „ano‟: používá dotazník „SSO‟ jako synonymum pro centralizovanou správu identit (jediné IdP, například Azure AD nebo Okta, pro většinu podnikových aplikací), nebo se fakticky ptá na něco jiného, co se tak náhodou formuluje? Mnoho formátů tuto otázku pokládá jako přípravu na následující otázku o vícefaktorové autentizaci — pokud na SSO odpovíte „ano‟, ale na IdP nemáte nastavenu vícefaktorovou autentizaci, jde z pohledu auditorů pouze o částečné opatření. Zkontrolujte to společně s otázce týkající se vícefaktorového ověřování než odpověď potvrdíte. Máte-li SSO pouze v části systémů — například u SaaS aplikací, nikoli v on-prem legacy prostředí — pak je detailnější odpověď s vysvětlením přesnější než pouhé „ano‟.

Zásady řízení přístupu a Příloha A uvádějí přesné místo nálezu

Zdůvodnění vychází ze dvou linií. V směrnici NIS2 spadá autentizace pod opatření čl. 21 odst. 2, zejména pod bod (i), který se týká kontroly přístupu a řízení podnikových aktiv — tam je širší zásada přístupu počáteční bod v tvém řetězovém spisu. Kdo pracuje s ISO/IEC 27001, najde SSO zpátky jako naplnění kontrolních opatření v Příloze A týkajících se správy identit a ověřování (A.5.15 až A.5.18 v edici z roku 2022). Pokud nemáš certifikát, není to samo o sobě problém pro tuto odpověď — otázka na SSO je nezávislá na otázce, zda jste certifikováni. Zákon o kybernetické bezpečnosti, který transpozuje NIS2 v Nizozemsku, nepřidává v tomto bodě žádný samostatný požadavek na SSO; vrací se pro plnění na stejných deset opatření z článku 21 odst. 2.