pytają, czy nasi pracownicy logują się za pomocą jednego loginu do wszystkiego

SSO jest środkiem uwierzytelniającym, a nie osobnym wymogiem NIS2

Logowanie jednokrotne (SSO) nie pojawia się jako odrębna pozycja w art. 21 ust. 2 dyrektywy NIS2. Pytanie powinno być sklasyfikowane w ramach polityki dostępu: jak określisz, kto ma dostęp do którego systemu i jak to kontrolujesz. SSO jest w tym przypadku środkiem, a nie celem — odpowiedź, którą wypełniasz, powinna zatem dotyczyć tego, co SSO rozwiązuje w Twoim otoczeniu, a nie samego narzędzia.

Ważne, aby sprawdzić przed wpisaniem "tak": czy ankieta posługuje się "SSO" jako synonimem scentralizowanego zarządzania tożsamością (jeden dostawca tożsamości, na przykład Azure AD lub Okta, dla większości aplikacji biznesowych), czy faktycznie pyta o coś innego, co tylko przypadkowo tak sformułowano? Wiele formatów stawia to pytanie jako wprowadzenie do pytania uzupełniającego o uwierzytelnianie wieloskładnikowe — jeśli odpowiesz "tak" na SSO, ale nie masz uwierzytelniania wieloskładnikowego na dostawcy tożsamości, to z punktu widzenia audytora stanowi to niepełny środek. Sprawdź to razem z o uwierzytelnianiu wieloskładnikowym zanim potwierdzisz odpowiedź. Jeśli masz SSO tylko na części systemów — na przykład na aplikacjach SaaS, ale nie w środowisku legacy on-premise — wówczas odpowiedź zniuansowana z wyjaśnieniem będzie dokładniejsza niż proste "tak".

Polityka dostępu i Załącznik A wskazują dokładną lokalizację

Uzasadnienie przebiega dwoma traktami. W dyrektywie NIS2 uwierzytelnianie podlega środkom artykułu 21 ust. 2, w szczególności pkt (i), dotyczącemu kontroli dostępu i zarządzania zasobami przedsiębiorstwa — tam znajduje się szerszam dostępu ogólnie punkt zaczepienia w twoim dossier łańcuchowym. Kto pracuje z ISO/IEC 27001, znajduje SSO z powrotem jako wypełnienie środków kontrolnych w Załączniku A wokół zarządzania tożsamością i uwierzytelniania (A.5.15 do A.5.18 w wersji z 2022 r.). Jeśli nie masz certyfikatu, to samo w sobie nie stanowi problemu dla tej odpowiedzi — pytanie o SSO jest niezależne od pytania czy jesteś certyfikowany. Ustawa o cyberbezpieczeństwie, która transpozycji NIS2 w Holandii, nie dodaje na tym etapie oddzielnego wymogu SSO; odsyła do tego samego dziesięciu środków z artykułu 21 ust. 2.