használatban van-e többfaktoros hitelesítés a céges rendszerekhez való hozzáféréshez?

Az MFA az artikel 21(2) explicit tizedik intézkedése

Igen, ez a kérdés az NIS2-lista kifejezetten megnevezett elemére vonatkozik: az artikel 21(2) j) pont kifejezetten említi "a többfaktoros hitelesítési vagy folyamatos hitelesítési megoldások használatát". Ez a kérdés eltérő a legtöbbtől az olyan listán — nincs értelmezési szabadság abban, hogy mit jelent, csak annak a kérdésében, hogy megvalósítva van-e és hol.

A gyakorlat az lefedettségben van, nem az elvben. Az az ügyfél, aki azt kérdezi, hogy használnak-e MFA-t, általában azt szeretné tudni: ez minden hozzáférésre vonatkozik a vállalati rendszerekhez, vagy csak egy részre? Az MFA a VPN-en, de nem a felhőalkalmazásokon, vagy az adminisztrációs fiókokon, de nem a szokásos felhasználóknál egy más válasz, mint egy egyszerű igen. Ez az elem ezért szorosan kapcsolódik a rögzített hozzáférési szabályzathoz és az üzleti eszközök kezeléséhez— anélkül, hogy meghatározná, mely rendszerek vannak és ki fér hozzájuk, az "használnak-e MFA-t" nem igen-vagy-nem kérdés, hanem egy százalékos válasz. Aki a választ csak a saját laptopjára ismeri, és nem a szerver-környezetre, valójában egy részhalmazról válaszol.

Ahol ezt az irányelvben megtalálja: artikel 21(2) j)

Az Európai Unió 2022/2555 irányelv 21. cikk (2) bekezdése tíz intézkedést sorol fel, amelyeket az entitásoknak kell meghoznunk a kockázatkezelés részeként; a j) pont kifejezetten említi a többfaktoros vagy folyamatos hitelesítést, a titkosított kommunikáció és a biztonságos vészkommunikáció mellett. Ez az intézkedés nem függetlenül áll: ugyanez a cikk (1) bekezdése előírja, hogy az egész arányos legyen a kockázattal, a mérettel és az incidensek valószínűségével, amely egy fokozatos bevezetésre ad lehetőséget, amennyiben azt szabályzat alapján rögzítik. Hogy az MFA kötelező-e az adott vállalkozóra nézve, attól függ, hogy a szervezet az irányelvben entitásként szerepel-e — egy olyan szállító, aki maga nem tartozik az NIS2 alá, csak azért kapja ezt a kérdést, mert az ügyfele igen, és a láncon végig kell kérdezni.