Χρησιμοποιείται ο έλεγχος ταυτότητας με πολλαπλούς παράγοντες για την πρόσβαση στα εταιρικά συστήματα;

Το MFA είναι το ρητό δέκατο μέτρο του άρθρου 21 παράγραφος 2

Ναι, αυτή η ερώτηση αφορά ένα κυριολεκτικά αναφερόμενο στοιχείο της λίστας NIS2: το άρθρο 21 παράγραφος 2 στοιχείο ι αναφέρει "τη χρήση λύσεων πολυπαραγοντικής ταυτοποίησης ή συνεχούς ταυτοποίησης" με το όνομα. Αυτό κάνει αυτή την ερώτηση διαφορετική από τις περισσότερες άλλες σε τέτοια λίστα — δεν υπάρχει χώρος ερμηνείας σχετικά με το τι εννοείται, μόνο σχετικά με το εάν έχει υλοποιηθεί και που.

Η πράξη βρίσκεται στην κάλυψη, όχι στην αρχή. Ένας πελάτης που ρωτά εάν χρησιμοποιείται MFA, συνήθως εννοεί: ισχύει αυτό για όλη την πρόσβαση στα συστήματα της επιχείρησης, ή μόνο για ένα μέρος; Το MFA στο VPN αλλά όχι σε εφαρμογές cloud, ή μόνο σε λογαριασμούς διαχείρισης αλλά όχι σε κανονικούς χρήστες, είναι μια διαφορετική απάντηση από ένα απλό ναι. Αυτό το στοιχείο συνεπώς συνδέεται στενά με την καθορισμένη πολιτική πρόσβασης και τη διαχείριση των περιουσιακών στοιχείων της επιχείρησης: χωρίς ένα σύνολο σχετικά με ποια συστήματα υπάρχουν και ποιος έχει πρόσβαση σε αυτά, το "χρησιμοποιείται MFA" δεν είναι μια ερώτηση ναι-ή-όχι αλλά μια ερώτηση με ένα ποσοστό σε αυτήν. Όποιος γνωρίζει την απάντηση μόνο για τον δικό του φορητό υπολογιστή και όχι για το περιβάλλον του διακομιστή, απαντά στην πράξη σχετικά με ένα υποσύνολο.

Πού αυτό βρίσκεται στην Οδηγία: άρθρο 21 παράγραφος 2 στοιχείο ι

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 απαριθμεί δέκα μέτρα που πρέπει να λάβουν οι οντότητες ως μέρος της διαχείρισης κινδύνων τους· το στοιχείο ι αναφέρει την πολυπαραγοντική ταυτοποίηση ή τη συνεχή ταυτοποίηση συγκεκριμένα, παράλληλα με την κρυπτογράφηση επικοινωνίας και την ασφαλή έκτακτη επικοινωνία. Αυτό το μέτρο δεν είναι ανεξάρτητο: η παράγραφος 1 του ίδιου άρθρου απαιτεί ότι το σύνολο είναι ανάλογο με τον κίνδυνο, το μέγεθος και την πιθανότητα περιστατικών, γεγονός που αφήνει περιθώριο για μια σταδιακή ανάπτυξη υπό την προϋπόθεση ότι είναι καθορισμένη πολιτικά. Εάν το MFA είναι υποχρεωτικό για την ίδια την επιχείρηση που συμπληρώνει τα στοιχεία, εξαρτάται από εάν η επιχείρηση εμπίπτει στην Οδηγία ως οντότητα — ένας προμηθευτής που δεν εμπίπτει ο ίδιος στο NIS2, λαμβάνει αυτή την ερώτηση μόνο επειδή ο πελάτης του το κάνει και η αλυσίδα πρέπει να ερευνήσει.