Se utilizează autentificarea multifactorială pentru accesul la sistemele întreprinderii?

AMF este a zecea măsură explicită din articolul 21 alineatul 2

Da, această întrebare privește o componentă menționată literal în lista NIS2: articolul 21 alineatul 2 litera j menționează "utilizarea de soluții pentru autentificarea multifactorială sau autentificarea continuă" cu nume. Aceasta face ca această întrebare să fie diferită de majoritatea celorlalte din asemenea listă — nu există spațiu de interpretare cu privire la ceea ce se înțelege, doar cu privire la întrebarea dacă a fost implementată și unde.

Practica se situează în acoperire, nu în principiu. Un client care întreabă dacă se utilizează AMF, dorește de obicei să știe: se aplică aceasta pentru tot accesul la sistemele de afaceri, sau doar pentru o parte? AMF pe VPN dar nu pe aplicații cloud, sau pe conturi de administrare dar nu pe utilizatori obișnuiți, este un răspuns diferit decât un simplu da. Această componentă este prin urmare strâns legată de politica de acces stabilită și gestionarea activelor de afaceri: fără o imagine de ansamblu a CARE sisteme există și cine are acces la acestea, "se utilizează AMF" nu este o întrebare cu răspuns da-sau-nu, ci o întrebare cu un procent în ea. Cine cunoaște răspunsul doar pentru propriul laptop și nu pentru mediul serverelor, răspunde de fapt despre o submulțime.

Locul în care se găsește în directivă: articolul 21 alineatul 2 litera j

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 enumeră zece măsuri pe care entitățile trebuie să le ia ca parte a gestionării riscurilor; litera j menționează autentificarea multifactorială sau autentificarea continuă în mod specific, alături de comunicația criptată și comunicația de urgență securizată. Această măsură nu este izolată: alineatul 1 al aceluiași articol cere ca întregul set să fie proporțional cu riscul, dimensiunea și probabilitatea incidentelor, ceea ce lasă loc unei implementări progresive atâta timp cât aceasta este stabilită ca politică. Dacă AMF este obligatorie pentru întreprinderea care completează răspunsurile, depinde de dacă întreprinderea se încadrează în directivă ca entitate — un furnizor care nu se încadrează în NIS2, primește această întrebare doar pentru că clientul său o face și lanțul trebuie investigat.