se întreabă dacă angajații noștri se conectează cu o singură autentificare la toate sistemele

SSO este o măsură de autentificare, nu o cerință separată din NIS2

Single sign-on (SSO) nu apare ca rubrică distinctă în articolul 21 alineatul 2 din Directiva NIS2. Întrebarea aparține politicii de acces: cum reglementezi cine poate accesa care sistem și cum verifici asta. SSO este aici un mijloc, nu un scop — răspunsul pe care îl completezi trebuie să vorbească despre ceea ce SSO rezolvă în mediul tău, nu despre instrumentul în sine.

Important de verificat înainte să completezi "da": folosește lista de control "SSO" ca sinonim pentru gestiunea identității centralizate (un IdP unic, de exemplu Azure AD sau Okta, pentru majoritatea aplicațiilor de afaceri), sau cere el de fapt altceva care se întâmplă să fie formulat așa? Multe formate pun această întrebare ca pas pregătitor către întrebarea următoare despre autentificarea multifactorială — dacă răspunzi "da" la SSO dar nu ai MFA configurat pe IdP, asta poate fi privită de un auditor ca o măsură incompletă. Verifică asta cu întrebarea despre autentificarea multifactor înainte să confirmi răspunsul. Dacă ai SSO doar pe o parte din sisteme — de exemplu pe aplicații SaaS, dar nu pe mediul legacy on-prem — atunci un răspuns nuanțat cu o explicație este mai precis decât un simplu "da".

Politica de acces și Anexa A oferă localizarea precisă

Justificarea se derulează pe două căi. În Directiva NIS2, autentificarea se încadrează în măsurile articolului 21 alineatul 2, în special în punctul (i), privind controlul accesului și gestionarea activelor organizației — acolo se găsește politica de acces mai largă punctul de aderență în dosarul tău din lanț. Cei care lucrează cu ISO/IEC 27001 găsesc SSO ca implementare a măsurilor de control din Anexa A privind gestionarea identității și autentificarea (A.5.15 până la A.5.18 în versiunea din 2022). Dacă nu ai certificat, asta nu este o problemă în sine pentru acest răspuns — întrebarea despre SSO este independentă de întrebarea dacă ești certificat. Legea privind securitatea cibernetică, care transpune NIS2 în Olanda, nu adaugă o cerință separată de SSO în acest punct; ea se referă pentru implementare la aceleași zece măsuri din articolul 21 alineatul 2.