Ali se za dostop do poslovnih sistemov uporablja večfaktorska avtentifikacija?

MFA je eksplicitni deseti ukrep člena 21(2)

Da, to vprašanje se nanaša na dobesedno omenjeni del seznama NIS2: članek 21(2) točka j posebej omenja "uporabo rešitev za večfaktorsko avtentifikacijo ali neprekinjeno avtentifikacijo". To vprašanje je drugačno od večine drugih na takem seznamu — ni interpretativnega prostora o tem, kaj je mišljeno, le o tem, ali je implementirano in kje.

Praksa je v pokritosti, ne v principu. Odjemalec, ki sprašuje, ali se uporablja MFA, običajno misli: ali to velja za ves dostop do poslovnih sistemov ali samo za del? MFA na VPN, ne pa na spletne aplikacije, ali na skrbniške račune, ne pa na navadne uporabnike, je drugačen odgovor kot preprosto da. Ta del je zato tesno povezan s vzpostavljeno politiko dostopa in upravljanjem poslovnih sredstev: brez pregleda, kateri sistemi obstajajo in kdo ima dostop do njih, "se MFA uporablja" ni vprašanje da ali ne, temveč vprašanje s odstotkom. Tisti, ki pozna odgovor samo za svoj prenosnik in ne za serversko okolje, dejansko odgovarja o podmnožici.

Kje je to v direktivi: članek 21(2) točka j

Članek 21(2) Direktive (EU) 2022/2555 navaja deset ukrepov, ki jih morajo subjekti sprejeti kot del svojega upravljanja tveganja; točka j posebej omenja večfaktorsko avtentifikacijo ali neprekinjeno avtentifikacijo, skupaj s šifriranjem komunikacije in zaščiteno nujno komunikacijo. Ta ukrep ni samostojen: člen 1 istega članka zahteva, da je celota sorazmerna tveganju, obsegu in verjetnosti incidentov, kar dopušča postopno uvedbo, dokler je to politično določeno. Ali je MFA obvezna za podjetje, ki izpolnjuje obrazec, je odvisno od tega, ali je podjetje subjekt, ki spada pod direktivo — dobavitelj, ki sam ne spada pod NIS2, dobi to vprašanje samo zato, ker njegov odjemalec to naredi in mora biti verigi zastavljeno vprašanje.