chiedono se i nostri dipendenti accedono con un unico login a tutto

SSO è una misura di autenticazione, non un requisito separato della NIS2

Single sign-on (SSO) non figura come voce autonoma nell'articolo 21, paragrafo 2 della direttiva NIS2. La domanda rientra nella politica di accesso: come regoli chi può accedere a quali sistemi e come verifichi che ciò avvenga. SSO è in questo contesto un mezzo, non un fine — la risposta che inserisci deve quindi riguardare quello che SSO risolve nel tuo ambiente, non lo strumento stesso.

È importante verificare prima di inserire "sì": il questionario utilizza "SSO" come sinonimo di gestione centralizzata delle identità (un IdP unico, ad esempio Azure AD oppure Okta, per la maggior parte delle applicazioni aziendali), o in realtà chiede qualcos'altro che per caso è formulato così? Molti formati pongono questa domanda come introduzione alla domanda successiva sull'autenticazione a più fattori — se rispondi "sì" a SSO ma non hai l'autenticazione a più fattori abilitata sull'IdP, dal punto di vista di un revisore si tratta di una misura incompleta. Verifica questo insieme a la domanda sull'autenticazione a più fattori prima di confermare la risposta. Se disponi di SSO solo su una parte dei sistemi — ad esempio su applicazioni SaaS ma non sull'ambiente legacy on-premises — una risposta articolata con una spiegazione è più precisa di un semplice "sì".

Politica di accesso e Annex A forniscono la fonte esatta

La giustificazione segue due percorsi. Nella direttiva NIS2 l'autenticazione rientra nelle misure dell'articolo 21, paragrafo 2, in particolare nel punto (i), riguardante il controllo dell'accesso e la gestione dei beni aziendali — qui si colloca la più ampia politica di accesso il punto di riferimento nel tuo fascicolo della catena. Chi lavora con ISO/IEC 27001 ritrova SSO come attuazione delle misure di controllo in Annex A relative alla gestione delle identità e all'autenticazione (A.5.15 fino ad A.5.18 nella versione 2022). Se non hai una certificazione, di per sé non costituisce un problema per questa risposta — la domanda su SSO è indipendente dalla domanda se sei certificato. La Legge sulla cybersicurezza, che recepisce la NIS2 nei Paesi Bassi, su questo punto non aggiunge un requisito SSO separato; rimanda per l'attuazione alle stesse dieci misure dell'articolo 21, paragrafo 2.