NIS2 – Správa a ověření identity administrátorů a uživatelů

O tématu NIS2 se dnes již dá najít spousta materiálů, protože tato směrnice představuje zásadní krok směrem k posílení kybernetické bezpečnosti v celé Evropské unii. Jedním z klíčových aspektů NIS2 je správa a ověření identity administrátorů, uživatelů a technických aktiv regulovaných služeb. Níže se tento článek zaměří na hlavní požadavky, které směrnice NIS2 klade na tuto oblast.

Směrnice zavádí povinnost používat nástroje pro správu a ověření identity, které zajišťují nejen ověření identity před zahájením aktivit, ale také řízení počtu neúspěšných pokusů o přihlášení, odolnost vůči hrozbám a zranitelnostem, a opětovné ověření identity po stanovené době nečinnosti. Klíčovým požadavkem je implementace vícefaktorové autentizace, která zvyšuje bezpečnost přístupu k citlivým informacím a systémům.

Je to celkem logické, vezmeme-li v potaz, že jedním z nejslabších článků v kyberprostoru je člověk, což směrnice reflektuje zvýšeným důrazem na správu hesel i pro uživatele. Organizace musí také zajistit bezpečné ukládání a správu hesel, včetně vytváření silných hesel a jejich pravidelných změn. Tyto požadavky jsou navrženy tak, aby minimalizovaly riziko neoprávněného přístupu a zvýšily celkovou odolnost systémů vůči kybernetickým útokům.

Dříve platilo, ještě v dobách před NIS1, že heslo má mít minimálně 8 znaků, má být kombinací čísel, znaků, malých a velkých písmen a kombinovat hesla pro různá zařízení. Jak bylo zmíněno, tak směrnice NIS2 obsahuje pravidla i pro hesla, patří mezi ně:

•   délka hesla alespoň
  • 12 znaků pro účty uživatelů,
  • 17 znaků pro účty administrátorů,
  • 22 znaků pro účty technických aktiv,
• možnost zadat heslo o délce alespoň 64 znaků,
• neomezující použití malých a velkých písmen, číslic a speciálních znaků,
• umožnění uživatelům a administrátorům změnu hesla, přičemž období mezi dvěma změnami hesla nesmí být kratší než 30 minut,
• povinné změny hesla v intervalu maximálně po 18 měsících,
• neumožňující uživatelům a administrátorům
  • zvolit si jednoduchá a často používaná hesla,
  • tvořit hesla na základě mnohonásobně opakujících se znaků, přihlašovacího jména, e-mailu, názvu systému nebo obdobným způsobem a
  • opětovné použití dříve používaných hesel s pamětí alespoň 12 předchozích hesel.

Ačkoli pravidla zavedená směrnicí NIS2 mohou na první pohled působit přísně, ve skutečnosti nejde o převratná opatření. Tato pravidla měla být v rámci kybernetické bezpečnosti dávno používána a mnozí odborníci a organizace je již dobrovolně dodržují. Směrnice NIS2 však tyto praktiky nyní formalizuje a zajišťuje, že jsou jasně stanoveny a povinné pro všechny regulované služby, čímž se zvyšuje celková úroveň bezpečnosti v celé Evropské unii. Tato standardizace pomáhá sjednotit přístup k bezpečnosti a minimalizovat rizika spojená s lidským faktorem. Zavedení těchto opatření nejen zvyšuje bezpečnost regulovaných služeb, ale také posiluje důvěru uživatelů a stabilitu provozu klíčových infrastruktur.