megkérdezik, hogy az alkalmazottak egy bejelentkezéssel jelentkeznek-e be mindenre

Az SSO egy hitelesítési intézmény, nem pedig külön NIS2-követelmény

A single sign-on (SSO) nem jelenik meg külön tételként a NIS2-irányelv 21. cikk 2. bekezdésében. A kérdés a hozzáférési politika alá tartozik: hogyan szabályozzuk, hogy ki milyen rendszerhez férhet hozzá, és hogyan ellenőrizzük ezt. Az SSO ebben az összevetésben egy eszköz, nem pedig egy cél — így a kitöltött válasznak arra kell vonatkoznia, hogy az SSO mit old meg az Ön környezetében, nem magára az eszközre.

Fontos, hogy ellenőrizze ezt mielőtt az "igen" választ adná: a kérdőív az "SSO"-t az azonosságkezelés központosításának (egy IdP, például Azure AD vagy Okta a legtöbb üzleti alkalmazáshoz) szinonímájaként használja-e, vagy valójában valami mást kérdez meg, amely csak így van megfogalmazva? Számos format ezt a kérdést az azonosítás során következő kérdés előkészítőjeként állítja fel — ha az SSO-ra "igent" mond, de nincs MFA beállítva az IdP-nél, az egy auditor szemszögéből nézve csak részleges intézmény. Ezt együtt ellenőrizze az a többfaktoros hitelesítésről szóló kérdésre előtt, hogy megerősítené a választ. Ha csak a rendszerek egy részénél van SSO — például SaaS-alkalmazásoknál igen, a helyszíni legacy-környezetben nem — akkor egy árnyaltabb, magyarázattal ellátott válasz pontosabb, mint egy sima "igen".

A hozzáférési politika és az A. melléklet adják a pontos megjelölést

Az alátámasztás két csatornán halad. A NIS2-irányelvben a hitelesítés a 21. cikk 2. bekezdésének intézkedései alá tartozik, különösen az (i) pont alatt, amely a hozzáféréskezelésről és az üzleti eszközök kezeléséről szól — itt van az átfogóbb hozzáférési politika az Ön ketendosszié kapcsolódási pont. Az ISO/IEC 27001-gyel dolgozók az SSO-t megtalálják a Melléklet A azonosságkezelésre és hitelesítésre vonatkozó kontrollintézkedéseinél (a 2022-es verzióban A.5.15 és A.5.18 közötti szakaszok). Ha Önnek nincs tanúsítványa, az magában nem jelent problémát erre a válaszra — az SSO iránti kérdés független az attól, hogy rendelkezi-e tanúsítvánnyaltól. Az informatikai biztonsági törvény, amely a NIS2-t Hollandiában átülteti, erre a pontra nem ad külön SSO-követelményt; a végrehajtás tekintetében a 21. cikk 2. bekezdésének ugyanazon tíz intézkedésére utal vissza.