Koristi li se višefaktorska autentifikacija za pristup poslovnim sustavima?

MFA je deseta eksplicitna mjera članka 21 stavka 2

Da, ovo pitanje odnosi se na doslovno navedeni dio NIS2-popisa: članak 21 stavak 2 točka j izričito spominje "upotrebu rješenja za autentifikaciju s više faktora ili kontinuiranu autentifikaciju" po imenu. To čini ovo pitanje drugačijim od većine ostalih na takvoj listi — nema prostora za tumačenje što se mislilo, samo pitanje je li primijenjeno i gdje.

Praksa se nalazi u pokrivenosti, a ne u principu. Klijent koji pita koristi li se MFA obično misliti: vrijedi li to za sav pristup poslovnim sustavima ili samo za dio? MFA na VPN-u, ali ne i na cloud aplikacijama, ili jest na administratorskim računima, ali ne i na redovitim korisnicima, drugačiji je odgovor nego prazan da. Ovaj dio je stoga usko povezan s utvrđenom politikom pristupa i upravljanjem poslovnim sredstvima: bez pregleda kojih sustava postoji i tko ima pristup njima, "koristi li se MFA" nije pitanje s odgovorom da ili ne, već pitanje s postotkom u sebi. Tko zna odgovor samo za vlastiti prijenosnik, a ne za okruženje poslužitelja, faktički odgovara o podskupu.

Gdje se to nalazi u Direktivi: članak 21 stavak 2 točka j

Članak 21 stavak 2 Direktive (EU) 2022/2555 navodi deset mjera koje subjekti moraju poduzeti kao dio upravljanja rizikom; točka j izričito spominje autentifikaciju s više faktora ili kontinuiranu autentifikaciju, zajedno s šifriranom komunikacijom i osiguuranom hitnom komunikacijom. Ova mjera nije odvojena: stavak 1 istog članka zahtijeva da je cjelina proporcionalna riziku, opsegu i vjerojatnosti incidenata, što daje prostor za postupnu provedbu sve dok je to beleškama dokumentirano. Je li MFA obavezna za poduzeće koje je unosi u sustav, ovisi o jesu li poduzeće koje je subjekt prema Direktivi — dobavljač koji sam ne potpadá pod NIS2, ovo pitanje dobiva samo zato što to čini njegov klijent i lanac mora pitati.