nad küsivad, kas meie töötajad logivad sisse ühe logimisandmetega

SSO on autentimisabinõu, mitte eraldi NIS2-nõue

Single sign-on (SSO) ei esine NIS2-direktiivi artikli 21 lõike 2 eraldi kirjena. Küsimus kuulub juurdepääsupoliitika alla: kuidas reguleerite, kes pääseb millisele süsteemile juurde ja kuidas te seda kontrollib. SSO on seejuures vahend, mitte eesmärk — sisestatud vastus peab käsitlema seda, mida SSO teie keskkonnas lahendab, mitte tööriista enast.

Oluline kontrollida enne kui sisestada "jah": kas küsimustik kasutab "SSO" kui sünonüümi tsentraliseeritud identiteedihaldusele (üks IdP, näiteks Azure AD või Okta, enamikule ärirakendustest), või küsib ta tegelikult midagi muud, mis juhtub nii formuleeritud olema? Paljud vormingud esitavad seda küsimust järgnevale küsimusele multifaktor-autentimise kohta eelmänguna — kui sa ütled SSO-le "jah", kuid sinu IdP-l pole MFA seadistatust, siis auditori seisukohast on see poolik abinõu. Kontrolli seda koos multifaktor-autentimise küsimuse kohta enne kui kinnitad vastust. Kas sul on SSO ainult osa süsteemidel — näiteks SaaS-rakendustel küll, kuid on-prem pärandkeskkonnas mitte — siis on nuanseeritud vastus selgitusega täpsem kui lihtsalt "jah".

Juurdepääsupoliitika ja Annex A annavad täpse leidmiskoha

Põhjendus käib kahel rajal. NIS2-direktiivis kuulub autentimine artikli 21 lõike 2 abinõude alla, eriti punkti (i) alla, mis käsitleb juurdepääsukontrolli ja ettevõtte varade haldamist — seal on laiemalt võetud juurdepääsupoliitika kinnituspunkt teie ketidossees. Kes ISO/IEC 27001-ga töötab, leiab SSO-st tagasi juhtimistavade alla Annex A identity management'i ja autentimise osas (versioon A.5.15 kuni A.5.18 2022. aasta versioonist). Kui teil pole sertifikaati, siis see pole iseenesest probleemiks sellele vastusele — küsimus SSO kohta seisab lahus küsimusest, kas teil on sertifikaadi. Küberturvalisuse seadus, mis rakendab NIS2-d Hollandis, ei lisa sellele punktile eraldi SSO-nõuet; ta viitab rakenduse jaoks samale kümne abinõule artiklis 21 lõige 2.