Waarom NIS 2 MFA van "Beste Praktyk" na 'n Nie-Onderhandelbare Standaard Omskep
'n Oortreding onderskei nie tussen jou senior IT-administrateur en die krediteureklerk nie – en ook nie vandag se bedreigingsakteurs nie. Onder NIS 2 is jou vermoë om elke digitale identiteit te verifieer nie meer opsioneel of net 'n merkblokkie vir bevoorregte rekeninge nie. Multifaktor-verifikasie (MFA) staan nou as die lakmoestoets vir ware organisatoriese veerkragtigheid, wat nie net deur die wet vereis word nie, maar ook deur versekeraars, ouditeure en u kliënte.
Reguleerders het dit duidelik gemaak: ENISA se jongste Threat Landscape-verslag wys daarop dat Meer as 70% van groot oortredings maak gebruik van basiese geloofsbriewediefstal – dikwels begin dit met gereelde gebruikers, nie stelseladministrateurs nie. (ENISA 2023). Die VK se NCSC waarsku steeds dat "bewyse-opvulling en phishing" verantwoordelik is vir die meerderheid van organisatoriese oortredings (NCSC). Gartner se mees onlangse bedryfsoorsig noem "slegs wagwoord"-benaderings 'n voldoeningswaarskuwingsteken in die Europese konteks (Gartner). Die nuwe standaard is meedoënloos: elke identiteit moet verifieerbaar wees, uitsonderings word noukeurig ondersoek, en regverdiging moet meer as net blokkies afmerk wees.
Aanvallers buit die oorgesienes uit, nie net die oorbevoorregtes nie. Nakoming verwag nou dat jy elke gaping toemaak – geen rekening word agtergelaat nie.
MFA is nie meer net 'n sekuriteitsteater vir IT-personeel nie – vandag is dit hoe toonaangewende organisasies volwassenheid aan die wêreld aandui.
Wie moet MFA onder NIS 2 gebruik? Verder as voorreg, na werklike risiko
Die meeste spanne soek na 'n binêre antwoord: "Is MFA vir almal, of net vir die bevoorregtes?" Die wet is spesifiek: MFA is nie onderhandelbaar vir bevoorregte rekeninge nie, maar jou risikoregister bepaal waar anders dit van toepassing moet wees – waar daar ook al werklike risiko is. (ENISA NIS 2-riglyne).
So, wie is "bevoorreg"? ENISA spel dit duidelik uit: alle administrateur-, wortel-, stelseladministrateur-, hulptoonbank-, afstandtoegang- en bevoorregte besigheidsprosesrekeninge is binne die bestek-geen uitsonderingsMaar nuanse maak saak – moderne bedreigings teiken dikwels die "nie-bevoorregte" paaie wat eskalasie of toegang tot sensitiewe data verleen.
Jou nakoming hang af van die aanspreek van die volgende:
- Doeltreffende toegang: Wie kan watter stelsels en data beïnvloed? Oorweeg beide direkte en indirekte rolle.
- Ligging en toegangskanaal: Toegang van afstand, mobiele toestelle of derdepartytoegang beteken verhoogde risiko.
- Wolk-, BYOD- en gefedereerde aanmeldings: Karteer en rekenskap gee van alle toegang buite jou "kasteelmure".
- Huidige gebruikersvoorraad: As jou personeel- of kontrakteurslys staties of verouderd is, sal jy sukkel om enige ouditeur te oortuig.
Onthou: "Afgedwonge SSO met MFA" voldoen slegs aan die vereistes wanneer elke rekening binne die omvang geregistreer is, en jou gebruikerslys ooreenstem met jou werklike omgewing. Ouditeure word nie meer beïnvloed deur verskaffers se bewerings nie - hulle ondersoek werklike dekking en beleidsbelyning.
NIS 2 is nie een-grootte-pas-almal nie; jy moet die logika en lewensstatus agter elke uitsondering en insluiting ken – en wys.
Moderne nakoming gaan oor risikogedrewe dekking – nie blinde eenvormigheid nie, en beslis nie wensdenkery nie.
Bemeester NIS 2 sonder sigbladchaos
Sentraliseer risiko, voorvalle, verskaffers en bewyse in een skoon platform.
Segmentering, nie versmoring nie: Goeie MFA-beleid volgens rol en risiko
Om MFA oral sonder konteks te stoot, lei tot ouditboetes of personeelfrustrasie. Leiers segmenteer met opset. Hulle balanseer risiko, bruikbaarheid en operasionele logika - en dokumenteer dan hul redenasie sodat oudits hulle nie blootgestel kan kry nie. Hier is hoe om dit vir enige organisasie te visualiseer:
Gebruikersgroep MFA-segmenteringstabel
Inleiding: Gebruik hierdie tabel om MFA-vereistes vir elke sleutelrol – noodsaaklik vir oudit – te dokumenteer, te regverdig en te operasionaliseer.
| Gebruikersgroep | MFA Vereis? | Hoe dit geïmplementeer word | verwysing |
|---|---|---|---|
| Admin/Wortel/SysOps | **Altyd** | Afgedwonge SSO/IdP MFA, kwartaallikse oorsigte | ISO 27001 A.8.5; NIS 2 |
| Afstandswerkers | **Ja - tensy dit streng geregverdig is** | MFA-toepassing/toestelvertroue, geo-omheining | ISO 27001 A.8.5; ENISA |
| Wolktoeganggebruikers | **Sensitiewe stelsels: Ja** | SSO+MFA, sessielogboeke, kontekstuele opleiding | ISO 27001 A.8.5; ENISA |
| Kontrakteurs/Verskaffers | **Aanhoudend: Ja; Episodies: Regverdig** | Valideer en teken tydgebonde, besit uitsonderings aan | ISO 27001 A.5.20; ENISA |
| Algemene Personeel | **Uitsonderings op risikogebaseerde dokumente** | Loguitsluitings, detailkompenserende kontroles | ISO 27001 A.5.15; NIS 2 |
| SaaS/Derdeparty-gereedskap | **Hang af van sensitiwiteit** | SSO+MFA waar moontlik; periodieke toegangsoorsigte | ISO 27001 A.8.5; ENISA |
Die meeste beleide misluk nie op grond van opset nie, maar op grond van brose uitsonderings. Jou verdediging is net so sterk soos jou slegste geregverdigde uitsluiting.
Regoor Europa het agentskappe (ANSSI, BSI, AGID) onvolledige "rol-alleen" MFA-beleide as onvoldoende verklaar as hulle nie die rasionaal vir uitsluitings naspoor nie. Ware nakoming is segmentering plus naspeurbare bewyse.
Waarom verouderde MFA-beleide die primêre ouditlokval is
Beleid kan nie vassteek terwyl jou werksmag, verskaffers en aanvalle na vore kom nie. Ouditeure verwag vandag lewende, weergawe-beheerde MFA-dokumentasie gekoppel aan aktiewe gebruikersinventarisse en werkvloeilogboeke. 'n Statiese jaarlikse beleidshersiening is nou 'n ernstige ouditrisiko.
Naspeurbaarheidstabel: Beleid tot lewe bring
Inleiding: Karteer elke werklike sneller tot sy risiko-opdatering en voldoeningsartefak.
| sneller | Risiko-opdatering | Beheer/SoA-skakel | Bewyse aangeteken |
|---|---|---|---|
| Nuwe administrateur voorsien | Hoogte | ISO A.8.5 | MFA aktief, logboek geargiveer, beheer eienaar |
| Riskante SaaS aan boord | Medium | ISO A.5.20 | SSO+MFA aan, kontrak nagegaan |
| Derde party/kontrakteur byvoeg | Veranderlike | ISO A.8.5/A.5.20 | Uitsondering geregistreer, logboeke gestoor |
| Verandering van personeelrol | Herbereken | Beleid A.5.15/8.5 | SoA/log wys nuwe risiko-eienaar |
| Beleids- of personeelverandering | Organisasiewyd | Alles hierbo | Personeel erken, hersien logboek |
As bewyse nie by elke geleentheid geskep word nie, word kontroles en registers papierskerms – nie werklike beskerming nie. Oudits gaan verlore nie weens 'n gebrek aan beleid nie, maar weens 'n gebrek aan lewende bewyse.
Retoriese lens: As jy op "gedokumenteerde voorneme" staatmaak, maar nie vinnig die huidige status kan bewys nie, sal ouditbevindinge volg.
Wees NIS 2-gereed van dag een af
Begin met 'n bewese werkspasie en sjablone – pasmaak, toewys en gaan.
Balansering van sekuriteit met personeelmoraal - die "MFA vir almal"-mite en die genesing daarvan
Daar is 'n aanhoudende mite: Universele MFA vernietig moraal, skep ondersteuningskaartjies en dryf personeel om beheermaatreëls te omseilDie waarheid? Deursigtige, risikogebaseerde MFA-ontplooiing – gemeng met kommunikasie en werklike kompenserende beheermaatreëls – beskerm u ouditposisie en bevorder werksmagvertroue.
Beste praktyk voorbeelde:
- MFA is by verstek “aan” vir hoërisiko-stelsels, met duidelike, hersienbare uitsonderings waar tegnologie- of prosesgapings universele afdwinging blokkeer.
- Kontrakteurs, verskaffers of gebruikers met slegs af en toe toegang het tydgebonde, eienaar-toegewysde uitsonderings. Eienaars hersien aftree, met alle motiverings aangeteken.
- Vir rolle met 'n laer risiko, dokumenteer presies waarom 'n vrystelling toegestaan word (bv. toestelbinding, sessiebeperkings, streng witlys), en stel hersieningsintervalle vas – om outomatiese hernuwing van blinde kolle te vermy.
Ouditstandaarde vereis nou dat jy die uitsonderingslys as 'n lewende dokument behandel. Wys wie dit goedgekeur het, wat die kompenserende beheermaatreël is, en wanneer dit volgende hersien sal word.
Ouditstres verminder wanneer die uitsonderingslys klein, besit, hersien en verduidelik is – nie onder die administrateur se mat gevee word nie.
Die kenteken van ouditvolwassenheid is 'n skraal, goed verdedigde uitsonderingsregister – nie 'n beleid wat net vir alle gebruikers of te permissief is nie.
Drie Bewyse Ouditeure Versoek MFA: Bewyse Bo Papier
Moenie dat statiese beleide jou in valse vertroue in oudits sus nie. Moderne ouditeure soek na bewyskettings oor alle MFA-kontroles. Hier is wat rade en ouditeure nou verwag – oor Frankryk (ANSSI), Duitsland (BSI), en die VK/ENISA-vooruitsigte:
- Lewendige rekening en gebruikersvoorraad-toon rol, MFA-status, hersieningstydsberekening en verantwoordelike eienaar.
- Uitsonderingsregister-besonderhede oor elke uitsluiting se rasionaal, kompenserende maatreëls, en hersieningseienaar en -datum.
- Werkvloei-logboeke-elke verandering aan beleid, gebruiker of register skep 'n ouditgereed gebeurtenis; personeelerkennings en loggebaseerde bewyse kan te eniger tyd deur 'n ouditeur of raad opgeroep word.
Dit is nie opsioneel nie: dit is die "rooi lyne" om lewende beheermaatreëls te demonstreer. Ouditeure is duidelik - 'n gedeelde skyf-lêergids of uitgevoerde PDF van "wie het MFA" is nie meer voldoende nie.
Goeie oudituitkomste kom van die bewys dat nakoming 'n gewoonte is – nie net 'n beleid nie. Outomatiseer die hersieningsaanvalle en laat jou ISMS die swaar werk doen.
Indien hierdie bewyse nie gelewer word nie, lei dit tot herhaalde bevindinge, boetes of selfs formele ondersoeke.
Al jou NIS 2, alles op een plek
Van Artikels 20–23 tot ouditplanne – voer en bewys voldoening uit, van begin tot einde.
Implementering van ouditgereed MFA: 'n Praktiese lus vir NIS 2-oorlewing
Die doel is 'n selfdokumenterende, lewende MFA-werkvloei. Vir beide leiers en praktisyns, hier is jou padkaart:
Stap 1: Weergawebeheer jou voldoeningsartefakte
Teken elke verandering aan beleide of registers aan; ken outeur, tydstempel en regverdiging toe. Jou ISMS of DMS moet elke stap heropspoorbaar maak.
Stap 2: Verseker en verkry personeel se instemming
Elke personeellid/kontrakteur moet die huidige MFA/toegangsbeleid erken. Gebruik digitale aanwysings of e-handtekeninge en leg dit as artefak vas.
Stap 3: Automatiseer risikogebaseerde snellers
Stel outomatiese hersienings vir enige aansluitingspersone, SaaS-aanboordpersoneel of kontrakteurs. Hersiener, datum en uitkoms moet aan beheerdokumentasie koppel.
Stap 4: Versamel jou bewyse
Bou enkelskerm-aggregasie: gebruikers, MFA-dekking, uitsonderings, weergawes, ouditlogboeke.
Stap 5: Dril soos 'n ouditeur
Kwartaalliks, voer rol-/MFA-status uit, kontroleer die uitsonderingsregister, kruisverifieer personeelerkennings en verifieer dat gebeure aan die Verklaring van Toepaslikheid gekoppel is.
Diegene wat belê in werkvloei-instrumente wat beleid, risiko en intydse registers oorbrug, vind dat oudits word roetine-geen gebeurtenisse meer om te vrees nie.
Hoe ISMS.online "Ouditgereed" 'n haalbare standaard maak
Die ISMS.online-omgewing laat jou toe om elke aspek van jou MFA-lus te sentraliseer, te operasionaliseer en na vore te bring. Bewyse gaan nie verlore in e-posse of "handleiding-opsporingsprogramme" nie - dit is uitvoerbaar, ouditeerbaar en leesbaar deur die raad, ouditeur of reguleerder op aanvraag.
Kenmerke wat werklike ouditgereedheid moontlik maak:
- Onmiddellike voorraad: Bekyk, voer uit en boor deur alle gebruikers, rolle en MFA-statusse.
- Uitsonderingsregister: Sien elke vrystelling met lewendige eienaar, rasionaal, kompenserende beheer en vervaldatum - geen vertraging of ouditverrassing nie.
- Bewyspakket op een plek: Versamel erkenningslogboeke, beheergeskiedenisse, weergawe-ouditroetes en risikoregisters met een klik.
- Polispakket plus aflewering: Ken MFA- en toegangsbeleide toe, werk dit op en spoor dit na; monitor dekking oor gebruikersgroepe heen.
- Outomatiese aanboord-snellers: Wanneer 'n nuwe gebruiker verskyn of 'n kontrakteur aan boord geneem word, vra 'n werkvloei vir onmiddellike risiko- en MFA-hersiening, wat alle goedkeuringstappe in die ouditlogboek vaslê.
Ouditgereedheid beteken dat enigiemand in jou direksie of ouditspan kan vra, en jou ISMS toon onmiddellik bewys – geen paniekerige menslike soektog nie, net 'n lewende, voldoeningsbestande stelsel.
Identiteit-oproep tot aksie: Wanneer jy die bedryf lei in intydse MFA en toegangsbeheerkartering, sien ouditeure en kliënte jou dissipline as 'n teken van vertroue. Laat ISMS.online daardie oorheersing in jou roetine vaslê. Bou jou lewende bewys - en slaap gerus wanneer die ouditeur bel.
Algemene vrae
Wat vereis NIS 2 vir MFA – is dit net vir administrateurs of vir elke gebruiker wat 'n risiko inhou?
NIS 2 vereis Multifaktor-verifikasie (MFA) as 'n harde vereiste vir alle bevoorregte en administratiewe rekeninge, maar gaan verder deur organisasies te druk om MFA toe te pas op enige gebruikersprofiel waarvan die toegang of werkskonteks as risikoverhogend beskou word – nie net IT-administrateurs nie. Jou organisasie moet sistematies alle gebruikers – insluitend standaardpersoneel, kontrakteurs, tydelike personeel, verskaffers en enigiemand met afstand- of wolktoegang – teen besigheidstelsels, datasensitiwiteit en blootstelling karteer. Slegs-administrateur-MFA is nou verouderd: effektiewe nakoming vereis 'n lewende risikobepaling wat bepaal wie MFA kry, met tegniese afdwinging, deurlopende hersiening en formele dokumentasie vir elke gebruikersvlak.
Waarom kan maatskappye nie meer op slegs-administrateur MFA staatmaak nie?
Onlangse aanvalstendense toon dat bedreigingsakteurs die mees toeganklike rekening teiken, nie net IT-administrateurbewyse nie. Gereelde personeel met afstandtoegang, hibriede werkpatrone of toegang tot sensitiewe data is nou gereelde aanvanklike oortredingsvektore. Onder NIS 2 moet elke vastrapplek – enige punt waar aanvallers kan eskaleer – beskerm word deur afgedwonge MFA, tensy daar 'n sterk, gereeld hersiene besigheidsrasionaal vir vrystelling is. Ouditeure evalueer hoe risikobepalings lei tot beleidstoepassing oor elke gebruikersgroep, en vereis bewyse dat hierdie proses beide doelbewus en huidig is.
Hoe word "risikogebaseerde" MFA geoperasionaliseer onder NIS 2- en ENISA-riglyne?
"Risikogebaseerde" MFA is nie teorie nie: dit word geformaliseer deur metodiese kartering van elke gebruikersrekening tot die risikolandskap - wat toegangsvlakke, data wat hanteer word, afstand-/wolkwerk en kritieke besigheidsfunksies kombineer. Hier is die werklike vertaling:
- Bevoorregte/administrateurrekeninge: Almal vereis MFA by verstek - geen uitsonderings nie.
- Afstandgebruikers/kontrakteurs/wolk/SaaS: Altyd binne bestek; MFA is 'n ononderhandelbare basislyn.
- Standaard, slegs-perseel personeel: Mag vrygestel word, maar slegs met formele skriftelike motivering, toewysing van 'n risiko-eienaar, hersieningskedules en kompenserende beheermaatreëls (bv. streng netwerksegmentering of eindpuntbeheermaatreëls).
- Uitsonderings/nalatenskapgevalle: Moet in 'n hoofregister nagespoor word, deur 'n genoemde risiko-eienaar onderteken word, gereeld hersien word en gerugsteun word deur bewyse van waarom die vrystelling geldig bly.
Sonder 'n "lewende risiko-inventaris" is beleidsverklarings of slegs-intensie-kontroles onvoldoende. Elke keer as 'n nuwe rekening geskep word, 'n rol oorgedra word, of 'n besigheidsinstrument ontplooi word, is 'n risiko-oorsig nodig.
Watter veranderinge vir voldoening en oudits?
Ouditeure meet jou werklike afdwingingsregisters, logboeke, SoA-kartering – teenoor wat jou beleide beweer. Enige ontbrekende groep of bewysgaping kan 'n ouditbevinding word, veral as "risikogebaseerd" net op papier is. Deurlopende, nie statiese, dekking is die nuwe normaal.
Wie moet MFA hê, wie mag, en wanneer kan jy vrystellings onder NIS 2 regverdig?
- Bevoorregte/Administrateurrekeninge: *Verpligte MFA*. Dit dek wortel-, supergebruiker-, diensrekeninge, bevoorregte verskaffer-aanmeldings en enige stelselvlak-administrateur - geen uitsonderings nie.
- Gereelde gebruikers/besigheidspersoneel: *MFA word vereis* indien rolle toegang tot sensitiewe stelsels, afstand- of wolkaanmelding, die hantering van gereguleerde data, of enige stelsel wat vir laterale beweging in 'n aanval gebruik kan word, behels. Wanneer die risiko toeneem – 'n afstandwerk-bemagtiging, 'n nuwe SaaS-instrument of 'n beleidsverskuiwing – moet die MFA-netwerk uitbrei.
- Kontrakteurs/Derde partye: Moet dieselfde kartering as insiders volg. Indien hul rekeninge langdurig is, op afstand geaktiveer is, of verhoogde toestemmings het, geld MFA soos dit intern sou. Slegs plaaslike, streng tydsbeperkte, nie-bevoorregte rekeninge wat nie toegang tot kritieke bates het nie, kan vir vrystelling oorweeg word - met motivering en vervaldatum aangeteken.
- Ware vrystellings: Skaars - slegs geregverdig vir rekeninge sonder toegang tot die stelsel op afstand of kritieke stelsel. Moet 'n benoemde eienaar en 'n gedokumenteerde, tydsgebonde hersieningskadens hê.
Veilige organisasies behandel elke aanhoudende digitale identiteit as 'n potensiële aanvalsvektor, nie net administrateur-aanmeldings nie.
Wat is die mees algemene NIS 2 MFA-slaggate, en hoe kan jy dit vermy?
Gereelde foute:
- Slegs staatmaak op wagwoorde vir administrateurs of afstand-/SaaS-toegang.
- Beleidsverklarings wat nie ooreenstem met ouditlogboeke of werklike afdwinging nie.
- Die gebruik van SMS as 'n enigste MFA-meganisme ten spyte van openbare riglyne daarteen (FIDO2, verifikasie-apps of wagwoorde word nou aanbeveel).
- Versuim om uitsonderings of ouer rekeninge aan te teken/te dokumenteer – indien dit nie in die register is met 'n rede en hersieningsiklus nie, is dit 'n gaping.
- Die afdwing van een-grootte-pas-almal MFA-strategieë wat gebruikersweerstand en skadu-IT veroorsaak (tydelike oplossings, gebruik van persoonlike toestelle).
- Om registers en risikokaarte te laat verouder - rolle en stelsels verander vinniger as ou beleidskripte.
Vermydingsmaatreëls:
- Handhaaf 'n intydse inventaris van alle rekeninge, gekategoriseer volgens stelselrisiko en gebruikerstipe.
- Ken risiko-eienaarskap toe vir elke uitsondering, met streng dokumentasie en opvolg.
- Toets u beleid gereeld met selfoudits en simuleer 'n eksterne assessering.
- Dateer MFA-gereedskap op om aan die hoogste standaard te voldoen wat deur u platforms en mobiele werksmag ondersteun word.
- Gebruik platforms (soos ISMS.online) wat bewysinsameling, veranderingsaansporings en herinnerings vir uitsonderingshersiening outomatiseer.
Hoe kan jy bewyse en kartering struktureer om 'n NIS 2-oudit te slaag?
'n Veerkragtige ouditgereed benadering gebruik 'n meesterregister wat rekeningtipes koppel aan risikovlak, MFA-vereiste, uitsonderingsrasionaal en bewysbron. Voorbeeldregister:
| Gebruikersgroep | Risikokonteks | MFA-status | Ouditroete |
|---|---|---|---|
| Admin/Bevoorreg | Enige, altyd | Standaard aktief | Stelselgebeurtenislogboeke, konfigurasiedump |
| Afstands-/SaaS-personeel | Wolk-/afstandtoegang | Standaard aktief | Gebruikersbeleid, aannemingslogboeke |
| Slegs plaaslike personeel | Intern, geen SaaS/stelsels nie | Vrygestel (indien geregverdig) | Risikogeval, hersieningsdokument |
| Verskaffers/Kontrakteurs | Aanhoudende/sensitiewe data | Per gekarteerde risiko | Toegangslogboeke, uitsonderingsdagboek |
Belangrike ouditstappe:
- Vir elke vrystelling, rekordeienaar, rasionaal, vervaldatum en volgende hersiening.
- Koppel elke rekeningtipe aan jou Verklaring van Toepaslikheid (SoA) en risikobepalingskontroles.
- Wanneer rolle, gebruikers of gereedskap verander, maak seker dat die platform vra vir 'n beleid-/beheeropdatering - en bewyse aanteken.
ISMS.online bied outomatiese beleidsweergawebeheer, registeropsporing en bewysregistrasie – alles uitvoerbaar vir ouditeure.
Watter dokumentasie en operasionele prosesse is noodsaaklik sodat u MFA-beleid die NIS 2-nakomingsoudit oorleef?
noodsaaklikhede:
- Weergawe-beheerde, lewende beleidsdokumente: Teken elke beleidsverandering, uitsondering en hersiening aan – geen statiese PDF's nie.
- Volledige stelsel- en gebeurtenislogboeke: Spoor na watter rekeninge MFA gebruik, wie op elke tydstip gedek was, en alle uitsonderings.
- Gesentraliseerde registers vir gebruikersrekeninge en uitsonderings: Koppel elke rekening aan risiko-evaluering, toegewyse eienaars, beheerstatus en hersieningskedulering - alles word intyds opgedateer.
- Outomatiese of werkvloei-gebaseerde opdaterings: Verseker dat enige gebruiker-/rol- of stelselbyvoeging onmiddellik register-/beleidshersiening aktiveer, nie net tydens die ouditseisoen nie.
- Gereelde selfondersoeke/oefeninge: Doen kwartaallikse selftoetse wat 'n regulatoriese oudit simuleer: word alle vereiste rekeninge gedek, is vrystellings lewendig en hersien, is jou bewysketting ongeskonde - tot op konfigurasievlakke indien nodig.
Wanneer kontroles, uitsonderings en bewyse in daaglikse werkvloeie verweef word – nie net beleidshandboeke nie – word nakoming nie 'n slaag/druip-gebeurtenis nie, maar 'n merker van voortgesette sakevertroue en volwassenheid.
ISO 27001/NIS 2 MFA-nakomingstabel: Van verwagting tot bewys
| verwagting | Operasionalisering | ISO 27001/Aanhangsel A Verwysing |
|---|---|---|
| MFA vir bevoorregte/administrateurrekeninge is universeel | Tegniese afdwinging, logboeke, gereelde oorsigte | A.5.10, A.5.12, A.8.5 |
| Risikogebaseerde MFA uitgerol vir nie-administrateurgebruikers | Rol-/voorraadkartering, besluitnemingslogboeke, risiko-oorsigte | A.8.3, A.8.9, A.5.12 |
| Alle uitsonderings formeel hersien/gedokumenteer | Eienaar, regverdiging, vervaldatum, kompenserende beheermaatreëls | A.8.21, A.5.18, A.5.36 |
| Deurlopende hersiening/bewyse word gehandhaaf | Selfoudit, veranderingslogboeke, lewende SoA | A.5.35, A.9.2, A.9.3 |
Naspeurbaarheids-minitafel
| sneller | Risiko-opdatering | Beheer- / SoA-skakel | Bewyse aangeteken |
|---|---|---|---|
| Wolk-app aangeneem | Gebruikersrisiko herevalueer | A.8.3, A.8.21 | Registreer verandering, MFA uitrol log |
| Personeelrol gaan op afstand | Voorreg verhoog | A.5.16, A.5.18 | Konfigurasieverandering, aanboordlogboeke |
| Uitsondering hersien/hernu | Beheerassessering | A.5.36 | Eienaar se kommentaar, resensienota |
Deurlopende nakoming vind plaas wanneer jou toegangsbeheer en MFA-bewyse dinamies, rol-vir-rol en risiko-gekarteer is eerder as statiese burokratiese oefeninge. Wanneer elke beleid, stelsel en uitsondering nagespoor en gekoppel word aan werklike bewyse, word oudits vertrouensbouers – nie strespunte nie – vir jou leierskap en jou direksie.
