viņi jautā, vai mūsu darbinieki piesakās ar vienu pieteikšanās darbību uz visu

SSO ir autentifikācijas pasākums, nevis atsevišķa NIS2 prasība

Single sign-on (SSO) neparādās kā atsevišķa pozīcija Direktīvas NIS2 21. panta 2. punktā. Jautājums pieder piekļuves politikai: kā noteikt, kuram var būt piekļuve kurām sistēmām, un kā to kontrolēt. SSO šajā kontekstā ir instruments, nevis mērķis — tāpēc atbilde, ko ievadāt, ir jāattiecina uz to, ko SSO atrisina jūsu vidē, nevis uz paši rīku.

Svarīgi pārbaudīt pirms jūs ievadāt "jā": vai jautājumlists izmanto "SSO" kā sinonīmu centralizētam identitātes pārvaldībam (viena IdP, piemēram, Azure AD vai Okta, lielākajai daļai uzņēmuma lietojumprogrammu), vai viņš faktiski jautā kaut ko pavisam citu, kas tikai viņā ir formulēts šādi? Daudzi formāti šo jautājumu uzdod kā iepriekšvēstījumu sekojošajam jautājumam par daudzfaktoru autentifikāciju — ja jūs atbildat "jā" uz SSO, bet IdP nav ieslēgta MFA, tas no revizora viedokļa ir nepabeigts pasākums. Pārbaudiet to kopā ar jautājumam par daudzu faktoru autentifikāciju pirms jūs apstiprinājat atbildi. Ja jums ir SSO tikai dažām sistēmām — piemēram, jā SaaS lietojumprogrammām, bet nē on-prem mantojuma videi — tad detalizēta atbilde ar paskaidrojumu ir precīzāka nekā vienkāršs "jā".

Piekļuves politika un A pielikums norāda precīzo atrašanās vietu

Pamatojums darbojas pa diviem ceļiem. NIS2 direktīvā autentifikācija ietilpst Direktīvas 21. panta 2. punkta pasākumos, jo īpaši punktā (i), par piekļuves kontroli un uzņēmuma aktīvu pārvaldību — tur ir plašāka piekļuves politika jūsu ķēdes dokumentu jūsu ketendossierā. Kas strādā ar ISO/IEC 27001, SSO atrod atpakaļ kā A pielikuma pārvaldības pasākumu izpildi identitātes pārvaldības un autentifikācijas jomā (A.5.15 līdz A.5.18 2022. gada versijā). Ja jums nav sertifikata, tas pats par sevi nav problēma šai atbildei — jautājums par SSO ir neatkarīgs no jautājuma, vai jūs esat sertificēti. Kiberdrošības likums, kas Nīderlandē transponē NIS2, šajā jomā nepievieno atsevišķu SSO prasību; tā atsaucas uz tās pašas desmit pasākumu aizpildi no Direktīvas 21. panta 2. punkta.