Ο κωδικός πρόσβασης ήταν για χρόνια η κύρια άμυνα των επιχειρήσεων. Σήμερα είναι συχνά το πιο αδύναμο σημείο τους. Οι περισσότερες παραβιάσεις ξεκινούν από κλεμμένα ή αδύναμα στοιχεία σύνδεσης. Η Οδηγία NIS2 το λαμβάνει υπόψη και κάνει την πολυπαραγοντική ταυτοποίηση (MFA) και τη λογική Zero Trust βασικό μέρος της συμμόρφωσης.
Γιατί οι απλοί κωδικοί δεν αρκούν πια
- Phishing: ένα πειστικό email αρκεί για να δώσει ένας υπάλληλος τον κωδικό του.
- Επαναχρησιμοποίηση κωδικών: κωδικοί που διέρρευσαν από άλλες υπηρεσίες δοκιμάζονται μαζικά (credential stuffing).
- Απομακρυσμένη εργασία: οι χρήστες συνδέονται από παντού, οπότε το «εσωτερικό δίκτυο» δεν είναι πια ασφαλές όριο.
Τι ζητά η NIS2
Το Άρθρο 21(2)(ι) της Οδηγίας (ΕΕ) 2022/2555 αναφέρει ρητά τη χρήση λύσεων πολυπαραγοντικής ή συνεχούς ταυτοποίησης, ασφαλών επικοινωνιών φωνής, βίντεο και κειμένου, και ασφαλών συστημάτων επικοινωνίας έκτακτης ανάγκης. Επιπλέον, το Άρθρο 21 ζητά πολιτικές ελέγχου πρόσβασης και διαχείρισης περιουσιακών στοιχείων.
Ο Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 εξειδικεύει τα μέτρα για ορισμένες κατηγορίες φορέων: έλεγχο πρόσβασης βάσει ρόλων, διαχείριση προνομιούχων λογαριασμών και ισχυρή ταυτοποίηση ανάλογα με τον κίνδυνο.
Σύμφωνα με το Άρθρο 20, η διοίκηση εγκρίνει και εποπτεύει αυτά τα μέτρα και μπορεί να λογοδοτήσει αν δεν εφαρμοστούν.
Τι σημαίνει Zero Trust στην πράξη
Η βασική αρχή είναι απλή: «ποτέ μην εμπιστεύεσαι, πάντα επαλήθευε». Κανένας χρήστης ή συσκευή δεν θεωρείται αξιόπιστος μόνο επειδή βρίσκεται μέσα στο δίκτυο.
- Επαλήθευση σε κάθε σύνδεση: ταυτότητα, συσκευή, τοποθεσία και επίπεδο κινδύνου.
- Ελάχιστα δικαιώματα: κάθε χρήστης έχει πρόσβαση μόνο σε ό,τι χρειάζεται για τη δουλειά του.
- Πρόσβαση βάσει ρόλων: τα δικαιώματα δίνονται σε ρόλους, όχι σε μεμονωμένα άτομα.
- Συνεχής παρακολούθηση: ασυνήθιστη συμπεριφορά εντοπίζεται και περιορίζεται άμεσα.
Είδη MFA: δεν είναι όλα το ίδιο ασφαλή
- Κωδικοί μέσω SMS: καλύτεροι από τίποτα, αλλά ευάλωτοι σε SIM swapping και phishing.
- Εφαρμογές ταυτοποίησης (TOTP / push): καλή βασική επιλογή· προσοχή στην «κούραση MFA» από συνεχείς ειδοποιήσεις.
- Κλειδιά ασφαλείας και passkeys (FIDO2): ανθεκτικά στο phishing· η προτιμώμενη λύση για διαχειριστές και κρίσιμα συστήματα.
Αντιστοίχιση απαιτήσεων NIS2 με μέτρα
| Απαίτηση NIS2 | Πρακτικό μέτρο |
|---|---|
| Πολυπαραγοντική ταυτοποίηση (Άρθ. 21(2)(ι)) | MFA για όλους τους χρήστες, phishing-resistant MFA για διαχειριστές |
| Πολιτικές ελέγχου πρόσβασης | Πρόσβαση βάσει ρόλων και αρχή ελάχιστων δικαιωμάτων |
| Ασφαλείς επικοινωνίες | Κρυπτογραφημένες πλατφόρμες φωνής, βίντεο και μηνυμάτων |
| Διαχείριση περιουσιακών στοιχείων | Έλεγχος κατάστασης συσκευής πριν τη σύνδεση |
| Λογοδοσία διοίκησης (Άρθ. 20) | Τεκμηριωμένη πολιτική, αναφορές και περιοδικός έλεγχος |
Πλάνο υλοποίησης σε 5 βήματα
- Καταγραφή: εντοπίστε όλους τους λογαριασμούς, εφαρμογές και σημεία πρόσβασης, ειδικά τους προνομιούχους.
- Προτεραιότητα: ενεργοποιήστε MFA πρώτα σε email, VPN/απομακρυσμένη πρόσβαση, cloud και λογαριασμούς διαχειριστών.
- Επέκταση: MFA σε όλους τους χρήστες και κατάργηση παλιών πρωτοκόλλων που το παρακάμπτουν.
- Zero Trust: ρόλοι, ελάχιστα δικαιώματα, έλεγχος συσκευών και πολιτικές πρόσβασης υπό όρους.
- Τεκμηρίωση και εκπαίδευση: γραπτή πολιτική, εκπαίδευση προσωπικού και τακτικός έλεγχος.
Το επόμενο βήμα
Δεν ξέρετε από πού να ξεκινήσετε; Κάντε τη δωρεάν αξιολόγηση συμμόρφωσης NIS2 για να δείτε πού βρίσκεστε, ή εκδηλώστε ενδιαφέρον και η ομάδα μας θα σας βοηθήσει να σχεδιάσετε MFA και Zero Trust για την επιχείρησή σας.
Το άρθρο έχει ενημερωτικό χαρακτήρα και δεν αποτελεί νομική συμβουλή.