zabezpieczenie
MFA (uwierzytelnianie wieloskładnikowe)
Drugi dowód tożsamości przy logowaniu, żeby samo skradzione hasło nikogo nie wpuściło. NIS2 wymienia je wprost. Pozostałe przepisy oczekują silnego uwierzytelniania i zostawiają metodę Tobie.
- co chroni
- każde logowanie, żeby samo skradzione hasło nie otwierało drzwi
- kto za to odpowiada
- szef IT
- zacznij od
- konta administratorów, potem dostęp zdalny, potem wszyscy
czym jest
MFA wymaga drugiego dowodu tożsamości przy logowaniu. Coś, co wiesz, na przykład hasło, idzie w parze z czymś, co masz, na przykład telefonem lub kluczem bezpieczeństwa. Samo skradzione hasło nie wpuszcza wtedy atakującego.
NIS2 wymienia je wprost, tam gdzie jest to właściwe. Pozostałe przepisy wymagają silnego uwierzytelniania albo dostępu dopasowanego do ryzyka i zostawiają metodę Tobie. Praktyczne pytania brzmią: od czego zacząć i jak mocne je zrobić.
Zacznij od kont, które mogą coś zmieniać: administratorów, finansów i osób, które mają dostęp do dostawcy tożsamości. Potem rozszerz je na dostęp zdalny i na wszystkich. Siła bywa różna. Są kody wysyłane SMS-em, kody z aplikacji uwierzytelniającej, zatwierdzenie dotknięciem na telefonie oraz metody, których nie da się nakłonić do zatwierdzenia fałszywej strony, takie jak klucze bezpieczeństwa i passkeys. Dla administratorów wybierz ostatnią grupę.
podstawa NIS2 art. 21(2)(j). Metody i kolejność są praktyką.
jak działa logowanie z drugim składnikiem
- 1hasłopierwszy dowód, coś, co wiesz
- 2drugi dowódsystem prosi o coś, co masz
- 3sprawdzeniesystem rozstrzyga, a fałszywa strona nie odpowie za Ciebie
- 4dostęp i zapislogowanie zostaje zapisane z użytym składnikiem
sposoby podania drugiego dowodu, od najsłabszego do najmocniejszego
- kod w SMS-iemożna go przechwycić albo wyłudzić
- kod z aplikacjilepiej, ale nadal wpisywany na każdej stronie, która o to poprosi
- zatwierdzenie dotknięciem na telefoniemożna je zmęczyć powtarzanymi prośbami
- klucz bezpieczeństwa lub passkeynie da się go oszukać fałszywą stroną
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
przykład
Wyobraź sobie firmę ze 80 osobami, która rok temu włączyła drugi składnik.
Zasada mówi, że dla wszystkich, ale szefową finansów i dwóch administratorów na razie wyłączono. Resety idą przez helpdesk, telefonicznie. Gdy ktoś wyłudzi hasło do konta dostawcy, napastnik dzwoni do helpdesku, prosi o reset i jest w środku.
Administratorzy i finanse używają kluczy bezpieczeństwa, reszta aplikacji. Lista wyjątków ma trzy nazwiska, każde z właścicielem i datą końca. Reset wymaga drugiej osoby i oddzwonienia na znany numer.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| NIS2 | NIS2 art. 21(2)(j) | MFA lub uwierzytelnianie ciągłe, tam gdzie jest to właściwe. | Obejmij najpierw administratorów i dostęp zdalny. Zapisz, gdzie je stosujesz i dlaczego nie stosujesz go gdzie indziej. |
| IR 2024/2690 | IR 2024/2690 załącznik 11.7.1 | Wymienieni dostawcy usług cyfrowych: MFA lub uwierzytelnianie ciągłe tam, gdzie to właściwe, według klasyfikacji zasobów. | Dopasuj siłę drugiego składnika do tego, jak krytyczny jest system. |
| DORA | DORA art. 9(4)(d) | Polityki i protokoły silnego uwierzytelniania. | Napisz politykę i bądź w stanie pokazać, że jest egzekwowana w systemach, które wymienia. |
| RODO | RODO art. 32(1)(b) | Stała poufność systemów przetwarzania, dopasowana do ryzyka. | Chroń systemy z danymi osobowymi proporcjonalnie do ryzyka. |
podstawa NIS2 art. 21(2)(j); IR 2024/2690 załącznik 11.7.1 jako punkt odniesienia; DORA art. 9(4)(d); RODO art. 32(1)(b). To, co zabezpieczenie ma robić, jest praktyką.
na co patrzeć przy wyborze
- Czy chroni każdą drogę wejścia: przeglądarkę, komputer, dostęp zdalny, konsole administratorów i starsze aplikacje, które nadal przyjmują samo hasło?
- Czy oferuje metodę odporną na fałszywe strony, taką jak klucz bezpieczeństwa lub passkey, dla administratorów i finansów?
- Co się dzieje, gdy ktoś zgubi telefon albo odejdzie z firmy? Kto może zresetować drugi składnik i jak dowodzi, kim jest osoba, która o to prosi?
- Czy jednym raportem zobaczysz, kto jest objęty, a kto nie?
- Czy możesz ustawić wyjątek z właścicielem i datą końca?
- Czy zapisuje każde logowanie, każdą nieudaną próbę i każdą zmianę drugiego składnika, i jak długo to przechowuje?
- Czy jest opisana droga wejścia na wypadek awarii samej usługi?
- Ile kosztuje miesięcznie na użytkownika po doliczeniu kont administratorów i gości?
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Włącz je dla każdego administratora i dla dostępu zdalnego. Zapisz wyjątki z właścicielem i datą.
- solidnie
Obejmij wszystkich, zrezygnuj z SMS-ów dla wrażliwych ról i co kwartał uruchamiaj raport pokrycia.
- mocno
Używaj kluczy bezpieczeństwa lub passkeys dla administratorów i finansów, wymagaj drugiej osoby przy resetach i raz w roku testuj ścieżkę resetu.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
zatwierdzenia klikane bez czytania
Prośbę zatwierdzaną jednym dotknięciem można powtarzać, aż ktoś ustąpi. Użyj dopasowania numeru albo metody odpornej na oszustwo, przynajmniej dla administratorów.
resetowanie jako tylne drzwi
Drugi składnik jest tak mocny, jak sposób jego resetu. Jeśli rozmówca może namówić helpdesk do resetu, składnik niczego nie chroni.
wyjątki bez końca
Wyjątek bez właściciela i daty przeglądu staje się stały. Trzymaj listę krótką i przeglądaj ją co kwartał.
administratorzy na końcu
Wdrożenie dla wszystkich przed kontami administratorów zostawia najcenniejsze konta na koniec. Zrób je najpierw.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| raport pokrycia: kto ma drugi składnik, a kto nie | szef IT | co kwartał |
| lista wyjątków z właścicielami i datami końca | szef IT | co kwartał |
| procedura resetu i rejestr resetów | szef IT | co roku |
| próbka zapisów logowań pokazująca użycie drugiego składnika | szef IT | co kwartał |
podstawa practice. Rytm odświeżania jest Twoim wyborem.
sprawdź sam
- Dyrektywa (UE) 2022/2555 (NIS2) (EUR-Lex)
- Rozporządzenie wykonawcze Komisji (UE) 2024/2690 (EUR-Lex)
- Rozporządzenie (UE) 2022/2554 (DORA) (EUR-Lex)
- Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)
twój następny krok
Uruchom dziś raport pokrycia i policz konta administratorów bez drugiego składnika.