pýtajú sa, či sa všetci zamestnanci prihlasujú jedným loginom na všetko

Jednotné prihlasovanie (SSO) je autentifikačné opatrenie, nie samostatná požiadavka NIS2

Jednotné prihlasovanie (SSO) nie je uvedené ako samostatná položka v článku 21 odsek 2 smernice NIS2. Otázka patrí pod prístupovú politiku: ako určíš, kto má prístup k akému systému, a ako to kontroluješ. SSO je pritom prostriedkom, nie cieľom — odpoveď, ktorú vyplníš, musí teda ísť o tom, čo SSO v tvojom prostredí rieši, nie o samotný nástroj.

Je dôležité skontrolovať pred tým, ako vyplníš "áno": používa zoznam otázok "SSO" ako synonymum pre centralizovanú správu identity (jedna IdP, napríklad Azure AD alebo Okta, pre väčšinu podnikových aplikácií), alebo sa v skutočnosti pýta na niečo iné, čo je náhodou formulované takto? Mnoho formátov tejto otázky kladú ako úvod k nasledujúcej otázke o viacfaktorovej autentifikácii — ak odpovieš "áno" na SSO, ale nemáš na IdP nastavenú MFA, predstavuje to z pohľadu audítora len čiastočné opatrenie. Skontroluj to spolu s otázky o viacfaktorovej autentifikácii predtým, ako potvrdíš odpoveď. Ak máš SSO len na časti systémov — napríklad na SaaS-aplikáciách, nie na on-prem dedičnom prostredí — potom je zvážená odpoveď s vysvetlením presnejšia ako holé "áno".

Prístupová politika a Príloha A udávajú presnú polohu

Zdôvodnenie prebieha cez dva spôsoby. V smerniciach NIS2 patrí autentifikácia pod opatrenia článku 21 odsek 2, najmä pod bod (i), o kontrole prístupu a správe podnikových prostriedkov — tam je širšia politika prístupu spojovací bod v tvojom reťazcovom spise. Ak pracuješ s ISO/IEC 27001, nájdeš SSO ako implementáciu bezpečnostných opatrení v Prílohe A týkajúcej sa správy totožnosti a autentifikácie (A.5.15 až A.5.18 v verzii z roku 2022). Ak nemáš certifikát, to samo o sebe nie je problém pre túto odpoveď — otázka na SSO je nezávislá od otázky, či si certifikovaný. Zákon o kybernetickej bezpečnosti, ktorý transpozuje NIS2 na Slovensku, na tomto mieste nepridáva samostatný požiadavok na SSO; v prípade implementácie odkazuje späť na rovnakých desať opatrení z článku 21 ods. 2.