ρωτούν εάν οι υπάλληλοί μας συνδέονται με ένα μόνο όνομα χρήστη σε όλα

Το SSO είναι ένα μέτρο ταυτοποίησης, όχι ξεχωριστή απαίτηση της NIS2

Το Single sign-on (SSO) δεν εμφανίζεται ως χωριστή θέση στο άρθρο 21 παράγραφος 2 της Οδηγίας NIS2. Το ερώτημα ανήκει στην πολιτική πρόσβασης: πώς ρυθμίζεις ποιος μπορεί να έχει πρόσβαση σε ποιο σύστημα, και πώς το ελέγχεις. Το SSO είναι σε αυτό ένα μέσο, όχι ένας σκοπός — η απάντηση που συμπληρώνεις πρέπει επομένως να αφορά το τι λύνει το SSO στο περιβάλλον σου, όχι το εργαλείο αυτό καθαυτό.

Σημαντικό να ελέγξεις πριν συμπληρώσεις «ναι»: χρησιμοποιεί το ερωτηματολόγιο το «SSO» ως συνώνυμο για κεντρικοποιημένη διαχείριση ταυτότητας (ένας IdP, για παράδειγμα Azure AD ή Okta, για τις περισσότερες εταιρικές εφαρμογές), ή ρωτά στην πραγματικότητα κάτι άλλο που τυχαίνει να διατυπώνεται έτσι; Πολλές φόρμες θέτουν αυτό το ερώτημα ως προέλευση για την επόμενη ερώτηση σχετικά με την ταυτοποίηση πολλαπλών παραγόντων — αν πεις «ναι» στο SSO αλλά δεν έχεις MFA στο IdP, από την άποψη ενός ελεγκτή αυτό είναι ένα ημιτελές μέτρο. Ελέγξε αυτό μαζί με την ερώτηση σχετικά με τη δυναμική ταυτοποίηση προτού να επιβεβαιώσεις την απάντηση. Εάν έχεις SSO μόνο σε ένα μέρος των συστημάτων — για παράδειγμα σε εφαρμογές SaaS, όχι στο on-prem legacy περιβάλλον — τότε μια διαφοροποιημένη απάντηση με σχόλιο είναι ακριβέστερη από ένα απλό «ναι».

Πολιτική πρόσβασης και Παράρτημα A δίνουν την ακριβή θέση αναφοράς

Η τεκμηρίωση ακολουθεί δύο κανάλια. Στην Οδηγία NIS2 η ταυτοποίηση εμπίπτει στα μέτρα του άρθρου 21 παράγραφος 2, ιδίως στο σημείο (i), σχετικά με τον έλεγχο πρόσβασης και τη διαχείριση των επιχειρηματικών πόρων — εκεί υπάρχει η ευρύτερη πολιτική πρόσβασης το σημείο σύνδεσης στο αρχείο της αλυσίδας σου. Αν εργάζεσαι με ISO/IEC 27001, θα βρεις το SSO ως υλοποίηση των μέτρων ελέγχου στο Παράρτημα A γύρω από τη διαχείριση ταυτότητας και την ταυτοποίηση (A.5.15 έως A.5.18 στην έκδοση 2022). Αν δεν έχεις πιστοποίηση, αυτό καθαυτό δεν είναι πρόβλημα για αυτήν την απάντηση — το ερώτημα για SSO είναι ανεξάρτητο από το ερώτημα εάν είσαι πιστοποιημένος. Ο Κυβερνοασφάλειας Νόμος, ο οποίος μετατρέπει την NIS2 στην Ολλανδία, δεν προσθέτει ξεχωριστή απαίτηση SSO σε αυτό το σημείο· παραπέμπει για την υλοποίηση στα ίδια δέκα μέτρα του άρθρου 21 παράγραφος 2.