Käytetäänkö monivaiheista todennusta pääsyyn yrityksen järjestelmiin?

MFA on artiklan 21 kohdan 2 eksplisiittinen kymmenes toimenpide

Kyllä, tämä kysymys koskee NIS2-luetteloon kirjaimellisesti kuuluvaa osaa: artiklan 21 kohdan 2 alakohta j mainitsee nimensä mukaan "monivaiheisen todentamisen tai jatkuvan todentamisen ratkaisujen käyttöä". Tämä tekee tästä kysymyksestä erilaisen kuin useimmat muut vastaavista luetteloista — tulkinnan varaa ei ole siitä, mitä tarkoitetaan, vaan ainoastaan siitä, onko se otettu käyttöön ja missä.

Käytäntö piilee kattavuudessa, ei periaatteessa. Asiakas, joka kysyy, käytetäänkö MFA:ta, tarkoittaa yleensä: koskeeko se kaikkea pääsyä yrityksen järjestelmiin vai vain osaa? MFA VPN:llä mutta ei pilvisovellusissa tai vain järjestelmänvalvojan tileillä mutta ei tavallisilla käyttäjillä, on eri vastaus kuin pelkkä kyllä. Tämä osa on siis läheisesti yhteydessä määriteltyyn pääsynhallintopolitiikkaan ja yrityksen omaisuuden hallintaan: ilman selvitystä siitä, mitä järjestelmiä on olemassa ja kuka niihin pääsee, "käytetäänkö MFA:ta" ei ole kyllä tai ei -kysymys vaan kysymys, jonka sisällä on prosenttiosuus. Joka tuntee vastauksen vain omasta kannettavasta tietokoneesta eikä palvelinympäristöstä, vastaa käytännössä osajoukkoon.

Missä se direktiivissä on: artiklan 21 kohdan 2 alakohta j

Direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 luettelee kymmenen toimenpidettä, jotka entiteettien on toteutettava osana riskienhallintaansa; alakohta j mainitsee monivaiheisen todentamisen tai jatkuvan todentamisen erityisesti salatun viestinnän ja turvallisen hätäviestinnän rinnalla. Tämä toimenpide ei ole erillinen: saman artiklan kohta 1 edellyttää, että kokonaisuus on oikeassa suhteessa riskiin, laajuuteen ja poikkeamien todennäköisyyteen, mikä jättää tilaa vaiheittaiselle käyttöönotolle, kunhan se on dokumentoitu politiikassa. Se, onko MFA pakollinen täyttävälle yritykselle itselleen, riippuu siitä, kuuluuko yritys direktiivin soveltamisalaan entiteettinä — toimittaja, joka ei itse kuulu NIS2:n alaisuuteen, saa tämän kysymyksen vain siksi, että hänen asiakkaansa kuuluu siihen ja ketjua on kyselyytettävä.