Kas mitmefaktoriline autentimine kasutatakse ettevõtte süsteemidele juurdepääsul?

MFA on artikli 21 lõike 2 selgesõnaline kümnend meede

Jah, see küsimus käsitleb NIS2 loendi sõnaselgelt nimetatud osa: artikli 21 lõike 2 punkt j nimetab nime järgi "multifaktor-autentimise lahenduste kasutamine või pidev autentimine". See teeb sellest küsimusest erineva kui enamikust muudest sellisel loendil — pole ruumi tõlgendamiseks selle kohta, mida tahetakse, ainult selle kohta, kas see on rakendatud ja kus.

Praktikas on küsimus kattumises, mitte põhimõttes. Klient, kes küsib, kas MFA-d kasutatakse, mõtleb tavaliselt: kas see kehtib kõigile juurdepääsudele ettevõtte süsteemidele või ainult osale? MFA VPN-is, kuid mitte pilverakendustes, või on see administratorite kontodel, kuid mitte tavakasutajatel, on erinev vastus kui täielik jah. See valdkond on seega tihedalt seotud juurdepääsupoliitika fikseerimisega ja ettevõtte varade haldamisega: ilma ülevaateta, millised süsteemid on olemas ja kellel on nendele juurdepääs, pole "MFA-d kasutatakse" jah-või-ei-küsimus, vaid küsimus, millele sisaldub protsent. Kes teab vastust ainult enda sülearvuti kohta, mitte serverikeskkonna kohta, vastab tegelikult osahulgale kuuluvale küsimusele.

Kus see direktiivis asub: artikli 21 lõike 2 punkt j

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 loetletakse kümme meedet, mida subjektid peavad võtma osana oma riskijuhtimisest; punkt j nimetab spetsiaalselt multifaktor-autentimist või pidevat autentimist koos krüpteeritud suhtlusega ja turvatud hädakommunikatsiooniga. See meede ei ole eraldiseisev: sama artikli lõige 1 nõuab, et see oleks võrdeline riskiga, ulatusega ja juhtumite tõenäosusega, mis jätab ruumi järkjärgulisele juurutamisele, kuni see on poliitiliselt fikseeritud. Kas MFA on kohustuslik asutuse enda jaoks, sõltub sellest, kas asutus kuulub direktiivi alla subjektina — tarnija, kes ise NIS2 alla ei kuulu, saab selle küsimuse ainult sellepärast, et tema klient kuulub ja peavad ahelat kontrollima.