Vai daudzfaktoru autentifikācija tiek izmantota piekļuvei uzņēmuma sistēmām?

MFA ir eksplicīta desmitā pasākuma daļa saskaņā ar Direktīvas 2022/2555 21. panta 2. punktu

Jā, šis jautājums attiecas uz burtiski minētu NIS2 saraksta komponentu: Direktīvas 2022/2555 21. panta 2. punkta j apakšpunkts nosauc "multifaktoru autentifikācijas vai nepārtrauktās autentifikācijas risinājumu izmantošanu". Tas padara šo jautājumu atšķirīgu no lielākās daļas citu sarakstā esošo jautājumu — nav interpretācijas brīvības par to, kas tiek domāts, tikai par to, vai tas ir ieviests un kur.

Prakse ir segumā, nevis principā. Klients, kurš jautā, vai tiek izmantota MFA, parasti nozīmē: vai tas attiecas uz visu piekļuvi uzņēmuma sistēmām, vai tikai uz daļu? MFA uz VPN, bet ne uz mākoņa lietojumprogrammām, vai uz administratora kontiem, bet ne uz parastiem lietotājiem, ir atšķirīgs atbildes variants nekā vienkāršs jā. Šis komponents tāpēc cieši saistīts ar noteikto piekļuves politiku un uzņēmuma līdzekļu pārvaldību: bez pārskata par to, kuras sistēmas pastāv un kas tam ir piekļuves tiesības, "vai tiek izmantota MFA" nav jā-vai-nē jautājums, bet jautājums ar procentuālo daļu. Ja kāds zina atbildi tikai par savu darbvirsmu, bet ne par serveru vidi, tas faktiskā atbild par apakškopu.

Kur tas atrodas direktīvā: 21. panta 2. punkts, apakšpunkts j

21. panta 2. punkts Direktīvai (ES) 2022/2555 uzskaitīti desmit pasākumi, kurus subjektiem jāveic kā daļa no to risku pārvaldības; apakšpunkts j īpaši nosaka vairāku faktoru autentifikāciju vai nepārtrauktu autentifikāciju, kā arī šifrētu komunikāciju un aizsargātu avārijas komunikāciju. Šis pasākums nav izolēts: tā paša panta 1. punkts prasa, lai kopumā tas būtu proporcionāls riskam, apmēram un incidentu iespējamībai, kas ļauj elastīgu ieviešanu, kamēr tas ir politiski fiksēts. Vai vairāku faktoru autentifikācija ir obligāta pašam aizpildošajam uzņēmumam, ir atkarīgs no vai uzņēmums saskaņā ar direktīvu kvalificējams kā subjekts — piegādātājs, kas pats neparādās NIS2 darbības jomā, saņem šo jautājumu tikai tāpēc, ka to dara viņa klients un piegādes ķēde ir jāuzdod.