jie klausia, ar mūsų darbuotojai prisijungia prie viso naudodami vieną prisijungimą

SSO yra autentifikavimo priemonė, o ne atskiras NIS2 reikalavimas

Single sign-on (SSO) nenurodomas kaip atskira pozicija straipsnio 21 straipsnio 2 dalyje NIS2 direktyvoje. Klausimas priklauso prieigos politikai: kaip jūs nustatyте, kas gali prieiti prie kurios sistemos, ir kaip tai kontroliuojate. SSO šiuo atveju yra priemonė, o ne tikslas — todėl jūsų įvesto atsakymo turi būti nukreiptas į tai, ką SSO sprendžia jūsų aplinkoje, o ne į patį įrankį.

Svarbu patikrinti prieš įvedant "taip": ar klausimynas naudoja "SSO" kaip sinonimą centralizuotam tapatybės valdymui (viena IdP, pavyzdžiui Azure AD arba Okta, daugumai verslo programų), ar iš tikrųjų klausia apie kažką kito, kuris tik atsitiktinai suformuluotas taip? Daugelis formatų pateikia šį klausimą kaip žingsnį į tolesnį klausimą apie daugiafaktorinę autentifikaciją — jei atsakysite "taip" į SSO, bet IdP neturite nustatytos MFA, tai iš audytoriaus perspektyvos yra nepilna priemonė. Tai patikrinkite kartu su klausimą apie kelių veiksnių autentifikavimą prieš patvirtindamas atsakymą. Jei tu naudoji SSO tik daliai sistemų — pavyzdžiui, SaaS programoms, bet ne on-prem paliktos sistemos aplinkai — tikslesnis būtų nuodugnūs atsakymas su paaiškinimu nei paprastas "taip".

Prieigos politika ir A priedas nurodo tikslią radimo vietą

Pagrindimas vyksta dviem kryptimis. NIS2 direktyvoje autentifikacija patenka į 21 straipsnio 2 dalies priemones, ypač į punktą (i), kuris skirtas prieigos kontrolei ir verslo priemonių valdymui — čia yra platesnis prieigos politika prieigos taškas jūsų tiekimo grandinės byloje. Tie, kurie dirba su ISO/IEC 27001, randa SSO grįžtamąjį ryšį kaip pagrindinių kontrolės priemonių į Priedą A, susijusį su tapatybės valdymu ir autentikavimu (A.5.15–A.5.18 2022 metų versijoje). Jei neturite sertifikato, tai savaime nėra šio atsakymo problema — klausimas apie SSO yra atskiras nuo klausimo, ar esate sertifikuoti. Kibernetinio saugumo įstatymas, kuris NIS2 integruoja į Nyderlandus, šiuo punktu neprideda atskiros SSO reikalavimo; jis grąžina nurodymą atgal į tas pačias dešimt priemonių iš NIS2 direktyvos 21 straipsnio 2 dalies.