Ar daugiafaktoris autentifikavimas naudojamas prieigai prie įmonės sistemų gauti?

MFA yra aiškus dešimtas NIST2 direktyvos 21 straipsnio 2 dalies priemonė

Taip, šis klausimas yra susijęs su tiesiogiai nurodyta NIS2 sąrašo dalimi: 21 straipsnio 2 dalies j punktas tiesiogiai nurodo "kelių veiksnių autentifikavimo ar nuolatinio autentifikavimo sprendimų naudojimą". Tai padarytis šį klausimą skirtingą nei daugumą kitų tokiuose sąrašuose — nėra interpretacijos vietos dėl to, ką reiškia šis nurodymas, tik klausimas, ar jis buvo įgyvendintas ir kur.

Praktika yra aprėpties klausimu, o ne principu. Klientas, kuris klausia, ar naudojamas MFA, dažniausiai norėtų žinoti: ar tai taikoma visoms prieigoms prie įmonės sistemų, ar tik daliai? MFA per VPN, tačiau ne šablono programoms, arba tik administratorių paskyrose, bet ne paprastiems vartotojams, yra kitoks atsakymas nei paprastas "taip". Šis veiksnys glaudžiai susijęs su nustatytu prieigos politika ir įmonės išteklių valdymu: be sistemos, kurias turite, ir to, kas turi prieigą prie jų, apžvalgos, "ar naudojamas MFA" nėra taip-ar-ne klausimas, bet klausimas su procentu. Jei žinote atsakymą tik savo nešiojamajam kompiuteriui, bet ne serverio aplinkai, iš tikrųjų atsakote apie dalį.

Kur tai nurodyta direktyvoje: 21 straipsnio 2 dalis, punktas j

21 straipsnio 2 dalis iš Direktyvos (ES) 2022/2555 išvardija dešimt priemonių, kurias subjektai turi imtis kaip savo rizikos valdymo dalį; punktas j specialiai nurodo daugialypio autentifikavimo arba nuolatinio autentifikavimo, be šifruoto bendravimo ir apsaugoto skubaus bendravimo. Ši priemonė nėra izoliuota: tos pačios straipsnio 1 dalis reikalauja, kad visuma būtų proporcinga rizikai, apimčiai ir incidentų tikimybei, o tai suteikia erdvės etapiniam diegimui, jei tai nustatyta strategijoje. Ar MFA yra privalomi pačiai pildančiai įmonei, priklauso nuo to, ar įmonė patenka po direktyvą kaip subjektas — tiekėjas, kuris pats nepatenka po NIS2, gauna šį klausimą tik todėl, kad jo klientas patenka, ir grandinė turi būti apklausta.