he kysyy, kirjautuvatko työntekijämme yhdellä kirjautumistunnuksella kaikkeen

SSO on todentamisen ohjauskeino, ei erillinen NIS2-vaatimus

Single sign-on (SSO) ei ole erillinen kohta neuvoston direktiivin 2022/2555/EU 21 artiklan 2 kohdassa. Kysymys kuuluu pääsynvalvontapolitiikan alle: kuinka määrität, kuka pääsee mihin järjestelmään, ja kuinka valvot sen toteutumista. SSO on siinä yhteydessä väline, ei tavoite — vastaus, jonka täytät, tulee siis käsitellä sitä, mitä SSO ratkaisee omassa ympäristössäsi, ei itse työkalua.

On tärkeää tarkistaa ennen kuin täytät "kyllä": käsitteellivätkö kysymyslomakkeen laatimet "SSO":ta identiteetin hallinnon keskittämisen synonyymina (yksi IdP-palvelu, kuten Azure AD tai Okta, suurimmalle osalle yrityssovelluksista), vai kysyvätkö he itse asiassa jostakin muusta, mikä vain sattuu olevan näin muotoiltu? Monet mallit esittävät tämän kysymyksen johdantona seuraavaan kysymykseen monivaiheisesta todentamisesta — jos vastaat "kyllä" SSO:hon mutta sinulla ei ole monivaiheista todentamista IdP:ssä käytössä, se on auditoijan näkökulmasta epätäydellinen ohjauskeino. Tarkista se yhdessä kysymykseen monivaiheisen todennuksen osalta ennen kuin vahvistat vastauksen. Jos sinulla on SSO vain osassa järjestelmistä — esimerkiksi SaaS-sovelluksissa kyllä, mutta ei paikallisessa perintöympäristössä — nuansoidumpi vastaus, jossa on selitys, on tarkempi kuin pelkkä "kyllä".

Pääsynvalvontapolitiikka ja Annex A antavat tarkan lähdeviitteen

Perustelut jakautuvat kahteen reittyyn. NIS2-direktiivissä todentaminen kuuluu 21 artiklan 2 kohdan ohjauskeino­ihin, erityisesti (i) kohtaan, joka koskee pääsynvalvontaa ja yrityksen resurssien hallintaa — siellä on laajempi pääsynvalvontapolitiikka ketjudossierin kiinnityskohta. Ne, jotka käyttävät ISO/IEC 27001 -standardia, löytävät SSO:n Annex A:n ohjauskeino­ista identiteetin hallinnon ja todentamisen ympärillä (A.5.15–A.5.18 vuoden 2022 versiossa). Jos sinulla ei ole sertifiointia, se ei sinänsä ole ongelma tälle vastaukseelle — kysymys SSO:sta on erillään siitä, oletko sertifioitu. Kybertukiasetus, joka muuttaa NIS2:n Alankomaissa, ei lisää tähän erillisen SSO-vaatimusta; se viittaa soveltamisessa takaisin samoihin kymmeneen 21 artiklan 2 kohdan ohjauskeino­ihin.