sprašujejo, ali se vsi zaposlenci prijavljajo z enim prijavam za vse

SSO je ukrep za avtentikacijo, ne ločena zahteva NIS2

Enojni vhod (SSO) ni naveden kot samostojni element v členu 21 odstavku 2 Direktive NIS2. Vprašanje spada pod politiko dostopa: kako določiš, kdo sme dostopati do katerega sistema, in kako to nadzoruješ. SSO je pri tem sredstvo, ne cilj — odgovor, ki ga vneseš, mora torej obravnavati, kaj SSO v tvojem okolju rešuje, ne pa samo samega orodja.

Pomembno je preveriti pred vnosom »da«: ali vprašalnik »SSO« uporablja kot sopomenko za centralizirano upravljanje identitete (en IdP, na primer Azure AD ali Okta, za večino poslovnih aplikacij), ali dejansko sprašuje za kaj drugega, ki je zgolj tako formulirano? Številni formati to vprašanje postavljajo kot uvod v naslednje vprašanje o večfaktorski avtentikaciji — če odgoovriš »da« na SSO, vendar na IdP-ju nimaš nastavljene večfaktorske avtentikacije, je to z vidika revizorja le delni ukrep. To preveri skupaj z vprašanju o večfaktorski avtentikaciji preden potrdištegovor. Če imaš SSO samo na delu sistemov — na primer pri aplikacijah SaaS, ne pa v lokalnem starinskem okolju — je premišljeno odgovor z razlago natančnejši kot golo »da«.

Politika dostopa in Annex A dajata natančno lokacijo

Utemeljitev poteka po dveh tirih. V Direktivi NIS2 avtentikacija spada med ukrepe člena 21 odstavka 2, zlasti pod točko (i), o nadzoru dostopa in upravljanju poslovnih sredstev — tam je širša politika dostopa izhodišče v tvojem verižnem dosjeju. Kdor dela z ISO/IEC 27001, SSO najde nazaj kot izvedbo kontrol v Annex A glede upravljanja identitete in avtentikacije (A.5.15 do A.5.18 v izdaji iz 2022). Če nemaš certifikata, to samo po sebi ni problem za ta odgovor — vprašanje o SSO je neodvisno od vprašanja, ali si certificiran. Zakon o kibernetski varnosti, ki NIS2 preslika v Slovenijo, na tej točki ne dodaja ločene zahteve za SSO; za izvedbo se sklicuje na iste deset ukrepov iz člena 21 odstavka 2.