Ġestjoni tal-għeja tal-MFA u l-attakki ta’ push bombing
In-notifika push tas-2:13 a.m. li saret mistoqsija għall-bord
Fis-2:13 a.m., amministratriċi għolja tal-finanzi tirċievi notifika fuq it-telefon ċellulari: “Tapprova d-dħul?” Hija tkun nofsha rieqda, tassumi li hija skadenza tas-sessjoni minn pjattaforma finanzjarja fil-cloud, u tagħfas biex tapprova.
Sas-2:19 a.m., l-attakkant ikun daħal fil-fornitur tal-identità. Sas-2:31 a.m., ikun qed jipprova jikseb aċċess għal esportazzjoni tal-pagi, console tal-cloud b’privileġġi għoljin, u kaxxa postali kondiviża użata għall-pagamenti lill-fornituri. Sat-3:05 a.m., is-SOC jara talbiet MFA ripetuti, ġeolokalizzazzjoni mhux tas-soltu, approvazzjoni b’suċċess, u sessjoni ġdida minn apparat mhux immaniġġjat.
Il-konverżazzjoni ta’ filgħodu hija familjari:
- “Imma kellna MFA.”
- “Għaliex l-utent approvaha?”
- “Illoggjajna d-dettalji tal-isfida MFA?”
- “Dan huwa ksur ta’ data personali?”
- “Għandna obbligi ta’ rappurtar fi żmien 24 siegħa jew 72 siegħa?”
- “L-awditur tagħna ta’ ISO 27001:2022 se jqis dan bħala falliment tal-kontroll?”
- “Dan jaffettwa NIS2, DORA, GDPR, kuntratti mal-klijenti jew assigurazzjoni ċibernetika?”
Din hija l-lakuna fil-governanza wara l-għeja tal-MFA u l-push bombing. L-attakkanti mhumiex qed ikissru l-kriptografija. Qed jeżawrixxu t-teħid tad-deċiżjonijiet tal-bniedem, jisfruttaw disinn dgħajjef tal-awtentikazzjoni, u jfittxu eċċezzjonijiet mhux immonitorjati. Il-falliment tal-kontroll rarament ikun “l-MFA mhijiex attivata”. Normalment ikun katina ta’ assigurazzjoni dgħajfa tal-identità, disinn riskjuż ta’ approvazzjoni push, nuqqas ta’ tqabbil tan-numri, regoli mhux ċari dwar aċċess privileġġjat, logging insuffiċjenti tal-awtentikazzjoni, trijaġġ dgħajjef tat-twissijiet, utenti mhux imħarrġa biżżejjed, u nuqqas ta’ evidenza dokumentata li l-organizzazzjoni rrieżaminat u kkoreġiet id-dgħufija.
Għas-CISOs, il-maniġers tal-konformità, l-awdituri u s-sidien tan-negozju, l-għeja tal-MFA għandha titqies bħala problema ta’ evidenza tal-ISMS, mhux biss bħala setting tal-fornitur tal-identità. It-tweġiba tgħaqqad it-trattament tar-riskju ta’ ISO 27001:2022, il-kontrolli ta’ ISO/IEC 27002:2022, l-obbligi tal-politiki, is-sensibilizzazzjoni tal-utenti, ir-rispons għall-inċidenti, il-governanza tal-fornituri, u l-immappjar bejn oqfsa differenti għal NIS2, DORA, GDPR, NIST CSF 2.0 u COBIT 2019.
L-għeja tal-MFA hija falliment tal-assigurazzjoni, mhux problema tal-utent
L-għeja tal-MFA, magħrufa wkoll bħala push bombing jew prompt bombing, isseħħ meta attakkant b’password valida jqanqal ripetutament talbiet ta’ approvazzjoni tal-MFA sakemm l-utent jaċċetta waħda. Xi drabi l-attakkant iżid inġinerija soċjali, bħal telefonata falza mill-helpdesk, messaġġ li jgħid “qed nittestjaw il-kont tiegħek”, jew talba biex jiġi approvat login sabiex jieqfu n-notifiki.
Il-periklu operattiv huwa li l-organizzazzjonijiet ħafna drabi jqisu kull MFA bħala ekwivalenti. Mhuwiex hekk.
Notifika push sempliċi ta’ “approva jew ċaħad” hija aktar dgħajfa minn tqabbil tan-numri, ċwievet hardware FIDO2 reżistenti għall-phishing, awtentikazzjoni bbażata fuq ċertifikati, jew aċċess kondizzjonali li jimblokka impossible travel u apparati mhux immaniġġjati. L-MFA tfalli wkoll meta l-eċċezzjonijiet ta’ bypass ma jkunux dokumentati, il-kontijiet ta’ servizz ikunu interattivi, protokolli legati jibqgħu miftuħa, jew aċċess b’riskju għoli ma jkunx jeħtieġ awtentikazzjoni aktar b’saħħitha.
Fil-Zenith Blueprint: An Auditor’s 30-Step Roadmap, Clarysec tqiegħed l-awtentikazzjoni sigura fil-fażi tal-Kontrolli fl-Azzjoni, Pass 19: Kontrolli Teknoloġiċi I. Il-gwida hija diretta:
L-awtentikazzjoni hija l-ewwel u l-aktar linja kritika ta’ difiża bejn attur tat-theddid u s-sistemi, id-data u s-servizzi tiegħek. Jekk l-awtentikazzjoni tkun dgħajfa, kull ħaġa oħra — l-iċċifrar, il-monitoraġġ, is-segmentazzjoni — tista’ tiġi evitata.
L-istess Zenith Blueprint tindirizza wkoll il-kontroll 5.17 ta’ ISO/IEC 27002:2022 fil-Pass 22:
Jekk l-identità hija l-mistoqsija, “Min int?”, allura l-awtentikazzjoni hija l-prova. Il-kontroll 5.17 huwa fejn it-teorija tiltaqa’ mal-fiduċja. Jeħtieġ li l-informazzjoni tal-awtentikazzjoni tiġi ġestita b’mod sigur matul iċ-ċiklu tal-ħajja kollu tagħha, sabiex il-metodi u l-kredenzjali użati biex tiġi vverifikata l-identità ma jsirux huma stess l-aktar ħolqa dgħajfa.
Dawn iż-żewġ dikjarazzjonijiet jispjegaw għaliex il-push bombing għandu jiddaħħal fir-Reġistru tar-Riskji. L-iċċifrar ma jgħinx jekk l-attakkant isir utent approvat. Is-segmentazzjoni tan-netwerk tgħin inqas jekk aċċess privileġġjat għall-cloud jiġi approvat permezz ta’ talba kkawżata mill-għeja. Il-monitoraġġ jaħdem biss jekk l-avvenimenti tal-awtentikazzjoni jiġu lloggjati b’dettall biżżejjed u rrieżaminati malajr.
Dikjarazzjoni matura tar-riskju għandha tkun espliċita:
| Xenarju tar-riskju | Kawża probabbli | Impatt | Trattament primarju |
|---|---|---|---|
| Utent japprova MFA push frodulenti wara kompromess ta’ password | Talbiet ripetuti, disinn push dgħajjef, sensibilizzazzjoni dgħajfa | Aċċess mhux awtorizzat, espożizzjoni tad-data, frodi | MFA reżistenti għall-phishing jew tqabbil tan-numri, limiti fuq it-talbiet, taħriġ tal-utenti, twissijiet |
| Amministratur japprova talba MFA mhux mistennija | Apparat kondiviż, xogħol remot, nuqqas ta’ tisħiħ tal-aċċess privileġġjat | Kompromess tal-cloud, eskalazzjoni tal-privileġġi | Ċwievet hardware għall-amministraturi, aċċess kondizzjonali, rieżamijiet tal-aċċess privileġġjat |
| Attakkant juża kont ta’ fornitur b’eċċezzjoni għall-MFA | Aċċess tal-fornitur mhux iggvernat, eċċezzjoni mhux rrieżaminata | Mogħdija minn parti terza għal servizz kritiku | Klawżoli tal-MFA għall-fornituri, Reġistru tal-Eċċezzjonijiet, monitoraġġ tal-identitajiet esterni |
| Is-SOC jitlef fallimenti ripetuti tal-MFA | Logs mhux kompleti jew mhux immonitorjati | Sejbien u rappurtar imdewma | Kamp ta’ applikazzjoni tal-logs tal-awtentikazzjoni, regoli SIEM, playbook ta’ eskalazzjoni tal-inċidenti |
Hawnhekk huwa fejn ISO 27001:2022 issir importanti. L-istandard jeħtieġ kuntest, partijiet interessati, tmexxija, valutazzjoni tar-riskju, ippjanar tat-trattament, kontroll operattiv, monitoraġġ, awditjar intern, rieżami tal-ġestjoni u titjib kontinwu. L-għeja tal-MFA tmisshom kollha.
Il-grupp ta’ kontrolli ISO 27001:2022 li se jittestjaw l-awdituri
ISO 27001:2022 tipprovdi l-istruttura tas-sistema ta’ ġestjoni. ISO/IEC 27002:2022 tipprovdi gwida għall-implimentazzjoni tal-kontrolli. Għall-għeja tal-MFA u l-push bombing, l-awdituri normalment jiffukaw fuq grupp ta’ kontrolli aktar milli fuq kontroll wieħed.
| Kontroll ISO/IEC 27002:2022 | Għaliex huwa importanti għall-għeja tal-MFA | Evidenza li jistennew l-awdituri |
|---|---|---|
| 5.17 Informazzjoni tal-awtentikazzjoni | Tiggverna passwords, tokens, seeds tal-MFA, ċertifikati, kodiċijiet ta’ rkupru u ċ-ċiklu tal-ħajja tal-mezzi ta’ awtentikazzjoni | Proċedura taċ-ċiklu tal-ħajja tal-kredenzjali, reġistri tar-reġistrazzjoni tal-MFA, kontrolli tar-reset, approvazzjonijiet tal-eċċezzjonijiet |
| 8.5 Awtentikazzjoni sigura | Teħtieġ mekkaniżmi ta’ awtentikazzjoni proporzjonati mar-riskju | Politika tal-MFA, konfigurazzjoni tal-aċċess kondizzjonali, tqabbil tan-numri, MFA reżistenti għall-phishing għal aċċess privileġġjat |
| 8.15 Logging | Jipprovdi data dwar avvenimenti ta’ awtentikazzjoni meħtieġa għall-investigazzjoni | Logs ta’ logins b’suċċess u falluti, użu tal-MFA, tul tas-sessjoni, kuntest tal-apparat u tal-post |
| 8.16 Attivitajiet ta’ monitoraġġ | Jiskopri mġiba anomala tal-awtentikazzjoni | Regoli SIEM, tickets tat-twissijiet, reġistri tat-trijaġġ, sejbien ta’ talbiet MFA ripetuti |
| 8.2 Drittijiet ta’ aċċess privileġġjat | Jiżgura li l-aċċess privileġġjat jirċievi governanza aktar b’saħħitha | Rieżamijiet tal-aċċess amministrattiv, infurzar tal-MFA privileġġjat, kontrolli break-glass |
| 8.3 Restrizzjoni tal-aċċess għall-informazzjoni | Tillimita dak li jistgħu jilħqu utenti awtentikati | Reġistri tal-aċċess ibbażat fuq rwoli, restrizzjonijiet tal-aċċess għad-data, rieżamijiet tal-prinċipju tal-inqas privileġġ |
| 5.24 Ippjanar u tħejjija għall-ġestjoni tal-inċidenti tas-sigurtà tal-informazzjoni | Tistabbilixxi tħejjija għall-immaniġġjar tal-inċidenti | Playbooks ta’ inċidenti tal-awtentikazzjoni, rwoli, mogħdijiet ta’ eskalazzjoni |
| 5.25 Evalwazzjoni u deċiżjoni dwar avvenimenti tas-sigurtà tal-informazzjoni | Tiżgura li t-twissijiet jiġu evalwati b’mod konsistenti | Reġistri tat-trijaġġ tal-avvenimenti, deċiżjonijiet dwar is-severità, deċiżjonijiet ta’ eskalazzjoni |
| 5.26 Rispons għall-inċidenti tas-sigurtà tal-informazzjoni | Imexxi t-trażżin u l-irkupru | Reġistri tar-revoka tas-sessjonijiet, evidenza tar-reset tal-password, analiżi tal-kawża ewlenija |
| 5.34 Privatezza u protezzjoni tal-PII | Tgħaqqad inċidenti tal-awtentikazzjoni ma’ obbligi tal-privatezza | Analiżi tal-aċċess għall-PII, evalwazzjoni tal-ksur, log tad-deċiżjoni tan-notifika |
| 5.19 sa 5.22 Relazzjonijiet mal-fornituri | Ikopru l-aċċess tal-fornituri u l-monitoraġġ tas-servizzi tal-fornituri | Klawżoli tal-MFA għall-fornituri, rieżamijiet ta’ kontijiet esterni, rapporti ta’ monitoraġġ tal-fornituri |
Zenith Controls: The Cross-Compliance Guide ta’ Clarysec jimmappja l-kontroll 8.5 Awtentikazzjoni sigura ta’ ISO/IEC 27002:2022 ma’ kontrolli ta’ appoġġ bħal 5.17 Informazzjoni tal-awtentikazzjoni, 8.2 Drittijiet ta’ aċċess privileġġjat, 8.16 Attivitajiet ta’ monitoraġġ, 5.24 Ippjanar u tħejjija għall-ġestjoni tal-inċidenti tas-sigurtà tal-informazzjoni, u 5.34 Privatezza u protezzjoni tal-PII. Din ir-rabta bejn il-kontrolli hija importanti għaliex screenshot li turi “MFA enabled” mhijiex biżżejjed. L-awdituri jridu prova li l-awtentikazzjoni hija mfassla, immonitorjata, rrieżaminata u mtejba abbażi tar-riskju.
Pakkett ta’ evidenza difensibbli għandu jinkludi:
- Valutazzjoni tar-riskju li tidentifika push bombing u inġinerija soċjali tat-talbiet tal-MFA.
- Standard ta’ awtentikazzjoni li jiddefinixxi metodi MFA aċċettabbli skont il-kritikalità tas-sistema.
- Politika tal-aċċess privileġġjat li teħtieġ awtentikazzjoni aktar b’saħħitha għal aċċess amministrattiv u remot.
- Esportazzjoni tal-konfigurazzjoni tal-fornitur tal-identità li turi tqabbil tan-numri, limiti fuq it-talbiet, aċċess kondizzjonali u awtentikazzjoni legata mblukkata.
- Logs li juru avvenimenti MFA b’suċċess u falluti, talbiet miċħuda, impossible travel u kuntest tal-apparat.
- Regoli ta’ twissija għal talbiet MFA ripetuti, fallimenti ripetuti u approvazzjoni mhux tas-soltu b’suċċess.
- Reġistri tar-rispons għall-inċidenti għal twissijiet relatati mal-awtentikazzjoni.
- Kontenut ta’ taħriġ ta’ sensibilizzazzjoni li jgħid lill-utenti biex ma japprovawx talbiet mhux mistennija.
- Reġistri tar-rieżami tal-aċċess għal sistemi privileġġjati u b’impatt għoli.
- Reġistru tal-Eċċezzjonijiet b’dati ta’ skadenza, approvazzjonijiet mis-sid tar-riskju u kontrolli kumpensatorji.
Il-politika tbiddel “tapprovax talbiet mhux mistennija” f’evidenza
Ħafna organizzazzjonijiet jgħidu lill-utenti biex ma japprovawx talbiet suspettużi. Dak il-parir huwa utli, iżda mhuwiex biżżejjed għaċ-ċertifikazzjoni ISO 27001:2022, is-sorveljanza NIS2, ir-reżiljenza DORA, ir-responsabbiltà taħt il-GDPR, id-diliġenza dovuta tal-klijenti, jew l-assigurazzjoni ċibernetika.
L-ewwel ankra tal-politika hija P38 Politika dwar Komunikazzjonijiet Siguri u Awtentikazzjoni b’Diversi Fatturi (MFA). Tindirizza direttament in-naħa umana:
Sensibilizzazzjoni tal-utenti: L-utenti għandhom jirċievu taħriġ biex jiddistingwu bejn kanali ta’ komunikazzjoni siguri u mhux siguri. It-taħriġ għandu jkopri l-użu xieraq tal-Awtentikazzjoni b’Diversi Fatturi (MFA) (eż., li ma jiġux approvati talbiet ta’ login mhux mistennija) u prattiki ta’ komunikazzjoni sigura (eż., verifika ta’ links għal video conferencing u li ma jiġux diskussi suġġetti kunfidenzjali fuq linji mhux siguri).
Dan ibiddel l-għeja tal-MFA f’obbligu ta’ taħriġ, mhux eżerċizzju ta’ ħtija. Jippermetti lis-CISO juri li l-prompt bombing huwa kopert fl-onboarding, fit-taħriġ ta’ aġġornament, fit-taħriġ ibbażat fuq ir-rwol u fil-briefings għal utenti privileġġjati.
L-istess P38 Politika dwar Komunikazzjonijiet Siguri u Awtentikazzjoni b’Diversi Fatturi (MFA) toħloq ukoll obbligu ta’ monitoraġġ:
Is-Sigurtà tal-Informazzjoni għandha timmonitorja kontinwament il-logs tal-awtentikazzjoni għal kwalunkwe tentattiv ta’ login b’fattur wieħed jew fallimenti anomali tal-Awtentikazzjoni b’Diversi Fatturi (MFA). Il-logs minn sistemi ta’ komunikazzjoni siguri, fejn applikabbli, għandhom jiġu mmonitorjati għal tentattivi ta’ aċċess mhux awtorizzat jew tibdil fil-konfigurazzjoni.
Għall-SMEs, P11S Politika dwar il-Ġestjoni tal-Kontijiet tal-Utenti u tal-Privileġġi - SME tistabbilixxi linja bażi prattika:
L-awtentikazzjoni b’diversi fatturi (MFA) għandha tiġi attivata, fejn teknikament fattibbli, għal kontijiet ta’ amministratur jew sistemi sensittivi.
Il-frażi “fejn teknikament fattibbli” qatt m’għandha ssir lakuna. Jekk sistema ma tistax tappoġġa MFA b’saħħitha, l-eċċezzjoni għandha tiġi rreġistrata b’sid, data ta’ skadenza, kontrolli kumpensatorji, monitoraġġ u pjan ta’ migrazzjoni. Organizzazzjonijiet akbar jistgħu jallinjaw l-istess aspettattiva ma’ P11 Politika dwar il-Ġestjoni tal-Kontijiet tal-Utenti u tal-Privileġġi, imbagħad jittestjaw jekk il-politika u r-realtà operattiva jaqblux.
L-evidenza tas-sejbien tiġi minn P22S Politika tal-Illoggjar u l-Monitoraġġ - SME, li teħtieġ logging tal-avvenimenti tal-awtentikazzjoni:
Logs tal-awtentikazzjoni: tentattivi ta’ login b’suċċess u falluti, tul tas-sessjoni, użu tal-MFA
Teħtieġ ukoll rieżami urġenti ta’ sinjali ta’ awtentikazzjoni b’riskju għoli:
Rieżami immedjat meta jiġu skoperti twissijiet ta’ severità għolja (eż., malware, falliment tal-awtentikazzjoni b’diversi fatturi (MFA), fallimenti ripetuti tal-login)
Is-sensibilizzazzjoni trid tevolvi hekk kif jevolvi t-theddid. Politika dwar l-Għarfien tas-Sigurtà tal-Informazzjoni u t-Taħriġ - SME tappoġġa dan iċ-ċiklu:
Is-suġġetti għandhom jinkludu theddid emerġenti (eż., phishing), bidliet rilevanti fil-politiki, u xejriet interni tal-inċidenti.
Meta s-SOC jiskopri tentattivi ta’ għeja tal-MFA, dik l-intelligence għandha tiddaħħal fi twissijiet lill-utenti, scripts tal-helpdesk, eżerċizzji tabletop u aġġornamenti tat-taħriġ.
Pakkett iggvernat ta’ kontrolli għall-għeja tal-MFA
Assumi li l-organizzazzjoni tiegħek tuża fornitur tal-identità fil-cloud, CRM SaaS, pjattaforma finanzjarja, VPN, u fornitur tas-sigurtà mmaniġġjat. L-għan huwa li tiġi ggovernata l-għeja tal-MFA bl-użu tal-Zenith Blueprint ta’ Clarysec, il-librerija tal-politiki u l-gwida Zenith Controls għall-konformità bejn oqfsa differenti.
Ibda bil-Pass 19 fil-Zenith Blueprint, li jagħti struzzjonijiet lit-timijiet biex jiddefinixxu rekwiżiti ta’ awtentikazzjoni għal kull sistema u jwissi li awtentikazzjoni b’password biss għandha tiġi evitata għal kontijiet amministrattivi, consoles cloud, għodod ta’ aċċess remot u sistemi aċċessibbli mill-internet. Imbagħad applika l-attività prattika ta’ rieżami:
Irrevedi l-iskjerament tal-MFA tiegħek: identifika kwalunkwe lakuna u ppjana biex tagħlaqha. Ivverifika li l-kontijiet ta’ servizz ikunu mhux interattivi fejn possibbli, ikollhom kredenzjali b’saħħithom, u jkunu dokumentati. Ikkonferma li ma jibqgħux kredenzjali predefiniti fuq ebda sistema jew applikazzjoni.
Ibdel dik il-gwida f’pakkett operattiv ta’ kontrolli.
Pass 1: ikklassifika s-sistemi skont ir-riskju tal-awtentikazzjoni
| Sistema | Fattur tar-riskju | Deċiżjoni tal-governanza tal-għeja tal-MFA | Evidenza |
|---|---|---|---|
| Console amministrattiva tal-fornitur tal-identità | Aċċess privileġġjat għas-sistemi kollha | MFA reżistenti għall-phishing biss, ebda approvazzjoni push sempliċi | Esportazzjoni tal-politika tal-aċċess kondizzjonali |
| Pjattaforma finanzjarja | Data dwar pagamenti u fornituri | Tqabbil tan-numri flimkien ma’ konformità tal-apparat | Screenshot tas-settings tal-MFA u rieżami tal-aċċess |
| VPN | Aċċess remot għan-netwerk | MFA meħtieġa b’limiti fuq it-talbiet | Logs tal-awtentikazzjoni tal-VPN |
| CRM | PII tal-klijenti | Tqabbil tan-numri għall-utenti kollha u MFA aktar b’saħħitha għall-amministraturi | Politika tal-awtentikazzjoni u logs |
| Kont ta’ aċċess tal-MSP | Aċċess privileġġjat minn parti terza | Kontijiet nominati, MFA b’saħħitha u logging tas-sessjonijiet | Ftehim ta’ aċċess mal-fornitur u rapport ta’ monitoraġġ |
Pass 2: neħħi mġiba push b’riskju għoli
Għal kontijiet amministrattivi u b’impatt għoli, iddiżattiva approvazzjoni push bażika. Uża mezzi ta’ awtentikazzjoni reżistenti għall-phishing fejn possibbli. Fejn il-push jibqa’ jintuża, infurza tqabbil tan-numri, kuntest tal-applikazzjoni, kuntest ġeografiku, rabta mal-apparat u limiti fuq ir-rata tat-talbiet. Imblokka awtentikazzjoni legata u eħtieġ awtentikazzjoni mill-ġdid għal sessjonijiet riskjużi.
Pass 3: iddefinixxi regoli ta’ twissija għall-għeja tal-MFA
Regola SIEM prattika għandha tiskatta meta wieħed jew aktar minn dawn il-mudelli jseħħu f’tieqa qasira:
- Tliet talbiet push tal-MFA jew aktar għal utent wieħed.
- Żewġ talbiet miċħuda segwiti minn talba approvata waħda.
- Approvazzjoni tal-MFA minn ġeografija ġdida jew apparat mhux immaniġġjat.
- Talba tal-MFA wara sinjal ta’ password spray jew credential stuffing.
- Approvazzjoni tal-MFA għal aċċess privileġġjat barra l-ħinijiet tax-xogħol normali.
- Reġistrazzjoni ta’ mezz ta’ awtentikazzjoni ġdid ftit wara tentattivi ta’ login falluti.
It-twissija għandha toħloq ticket tal-inċident, tinnotifika lis-SOC jew lir-responsabbli għas-sigurtà, u teħtieġ passi ta’ trażżin: sospensjoni tas-sessjoni, revoka tat-tokens ta’ tiġdid, reset tal-password, verifika tal-apparat, intervista mal-utent, rieżami tal-aċċess matul is-sessjoni, u klassifikazzjoni ta’ jekk seħħx impatt fuq data personali jew fuq servizz kritiku.
Pass 4: għaqqad ir-reġistri tal-privatezza u tal-inċidenti
Jekk il-kont jista’ jaċċessa data personali, applika Politika tas-Sigurtà u l-Kontroll tal-Aċċess tal-PII. Teħtieġ awtentikazzjoni b’saħħitha qabel aċċess għall-PII b’impatt għoli:
[It-tnejn] Ir-Responsabbli tas-Sigurtà tal-Informazzjoni GĦANDU jeħtieġ awtentikazzjoni b’saħħitha għal aċċess privileġġjat, remot, amministrattiv jew b’impatt għoli għall-PII qabel ma tali aċċess jiġi attivat u għandu jirreġistra r-rekwiżit f’REG12.
Teħtieġ ukoll li jiġi definit il-kamp ta’ applikazzjoni tal-logging:
[It-tnejn] Is-Sid tas-Sistema / Sid tal-Applikazzjoni GĦANDU jiddefinixxi l-kamp ta’ applikazzjoni tal-logging tal-PII għal avvenimenti ta’ awtentikazzjoni, avvenimenti ta’ aċċess, azzjonijiet privileġġjati, attività ta’ esportazzjoni tal-PII u bidliet materjali fil-konfigurazzjoni f’REG12 qabel l-użu fl-ambjent ta’ produzzjoni jew bidla materjali.
Meta l-monitoraġġ jindika aċċess suspettat mhux awtorizzat għall-PII, joħloq obbligu għal rekord tal-inċident:
[Kondizzjonali] Il-Koordinatur tar-Rispons għall-Inċidenti GĦANDU jiftaħ jew jgħaqqad rekord REG10 fi żmien jum tax-xogħol wieħed meta l-monitoraġġ jindika aċċess suspettat mhux awtorizzat għall-PII, żvelar suspettat tal-PII, alterazzjoni suspettata tal-PII jew telf suspettat tad-disponibbiltà tal-PII.
L-eskalazzjoni tal-privatezza titlesta bil-Politika tal-Ġestjoni tal-Inċidenti u l-Ksur tal-PII:
[Kondizzjonali] Ir-Responsabbli tal-Privatezza / Maniġer tal-PIMS GĦANDU jevalwa l-iskattaturi applikabbli ta’ rappurtar legali, settorjali, tas-settur finanzjarju, taċ-ċibersigurtà, kuntrattwali, tal-klijenti u tar-riċevituri tas-servizz għal kull inċident tal-PII b’impatt għoli u jirreġistra r-riżultat tal-applikabbiltà f’REG01, REG08, u REG10.
Dan huwa dak li jibdel twissija MFA f’evidenza lesta għall-awditjar madwar is-sigurtà, il-privatezza u l-konformità.
NIS2, DORA u GDPR: inċident wieħed, mistoqsijiet differenti
L-għeja tal-MFA hija test ta’ stress utli għall-konformità bejn oqfsa differenti għaliex tmiss il-governanza, l-iġjene ċibernetika, il-kontroll tal-aċċess, is-sejbien tal-inċidenti, l-aċċess tal-fornituri u r-rappurtar ta’ ksur.
| Qafas | X’għandha twieġeb l-evidenza tal-għeja tal-MFA | Evidenza prattika |
|---|---|---|
| Direttiva NIS2 | Il-maniġment approva u ssorvelja miżuri xierqa ta’ ġestjoni tar-riskji taċ-ċibersigurtà, inklużi kontroll tal-aċċess, taħriġ, immaniġġjar tal-inċidenti u MFA fejn xieraq? | Rappurtar lill-bord, Pjan ta’ Trattament tar-Riskju, Politika tal-MFA, evidenza tat-taħriġ, evalwazzjoni tar-rappurtar taħt NIS2 |
| Regolament DORA | L-entità finanzjarja ġestiet ir-riskju tal-ICT, skopriet attività anomala, ikklassifikat l-inċidenti u daħħlet il-lezzjonijiet mitgħallma fil-kontrolli tar-reżiljenza? | Immappjar tal-assi tal-ICT, konfigurazzjoni ta’ awtentikazzjoni b’saħħitha, klassifikazzjoni tal-inċidenti, analiżi tal-kawża ewlenija, rieżami tal-aċċess ta’ partijiet terzi |
| GDPR | Il-kontrollur jew il-proċessur applika sigurtà proporzjonata mar-riskju u evalwa jekk seħħx aċċess mhux awtorizzat għal data personali? | Kamp ta’ applikazzjoni tal-logging tal-PII, rekord REG10, evalwazzjoni tal-ksur, evidenza tal-kontrolli ta’ Article 32, deċiżjoni ta’ notifika ta’ Article 33 |
NIS2: responsabbiltà tal-maniġment u iġjene ċibernetika
NIS2 tapplika għal ħafna entitajiet essenzjali u importanti, skont is-settur, id-daqs u d-deżinjazzjoni tal-Istat Membru. Article 20 ipoġġi responsabbiltà fuq il-korpi maniġerjali biex japprovaw miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà, jissorveljaw l-implimentazzjoni u jirċievu taħriġ. Article 21 jeħtieġ miżuri tekniċi, operattivi u organizzattivi xierqa, inklużi immaniġġjar tal-inċidenti, iġjene ċibernetika, sigurtà tal-katina tal-provvista, kontroll tal-aċċess, ġestjoni tal-assi, taħriġ, u awtentikazzjoni b’diversi fatturi jew kontinwa fejn xieraq. Article 23 jintroduċi obbligi ta’ rappurtar tal-inċidenti fi stadji għal inċidenti sinifikanti, inkluża twissija bikrija fi żmien 24 siegħa minn meta jsir magħruf l-inċident u notifika tal-inċident fi żmien 72 siegħa.
Għalhekk inċident ta’ push bombing isir mistoqsija fil-livell tal-bord: l-MFA kienet imfassla b’mod sigur, jew kienet sempliċement attivata?
DORA: l-awtentikazzjoni bħala reżiljenza operattiva diġitali
Għal entitajiet finanzjarji koperti, DORA tapplika mis-17 ta’ Jannar 2025. Tistenna ġestjoni tar-riskju tal-ICT, sejbien, rispons, irkupru, rappurtar tal-inċidenti, ittestjar tar-reżiljenza operattiva diġitali u ġestjoni tar-riskju ta’ partijiet terzi tal-ICT.
DORA Article 9 jindirizza l-protezzjoni u l-prevenzjoni, inklużi miżuri ta’ kontroll tal-aċċess u awtentikazzjoni. Article 10 jindirizza s-sejbien ta’ attività anomala. Article 17 jeħtieġ proċess ta’ ġestjoni ta’ inċidenti relatati mal-ICT. F’kuntest DORA, l-evidenza tal-għeja tal-MFA għandha turi li l-assi tal-ICT affettwati ġew identifikati, il-monitoraġġ skopra mġiba anomala, l-inċident ġie kklassifikat bl-użu ta’ kriterji tal-impatt, il-maniġment għoli ġie involut fejn meħtieġ, u l-lezzjonijiet mitgħallma ddaħħlu lura fil-qafas tar-riskju tal-ICT.
GDPR: sigurtà tal-ipproċessar u responsabbiltà
GDPR Article 5(1)(f) jeħtieġ integrità u kunfidenzjalità. Article 5(2) jeħtieġ responsabbiltà. Article 32 jeħtieġ sigurtà proporzjonata mar-riskju. Article 4 jiddefinixxi ksur ta’ data personali bħala ksur tas-sigurtà li jwassal għal qerda aċċidentali jew illegali, telf, alterazzjoni, żvelar mhux awtorizzat ta’, jew aċċess għal, data personali.
Jekk inċident ta’ għeja tal-MFA jmiss data personali, il-mistoqsija dwar l-evidenza hija sempliċi: l-organizzazzjoni tista’ turi kontrolli xierqa ta’ awtentikazzjoni, monitoraġġ, rispons għall-inċidenti u evalwazzjoni tal-ksur?
Crosswalk għal ISO, NIST CSF 2.0, COBIT 2019 u evidenza tal-awditjar
NIST CSF 2.0 huwa utli għaliex jittraduċi l-governanza tal-MFA f’riżultati GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND u RECOVER.
| Funzjoni NIST CSF 2.0 | Attività ta’ governanza tal-għeja tal-MFA |
|---|---|
| GOVERN | Iddefinixxi politika ta’ awtentikazzjoni, aptit għar-riskju, rwoli, obbligi legali u aspettattivi għall-fornituri |
| IDENTIFY | Inventarja sistemi, kontijiet privileġġjati, repożitorji tal-PII, identitajiet tal-fornituri u metodi ta’ awtentikazzjoni |
| PROTECT | Infurza MFA reżistenti għall-phishing, tqabbil tan-numri, aċċess kondizzjonali u ġestjoni sigura tal-kredenzjali |
| DETECT | Immonitorja fallimenti tal-MFA, prompt bombing, impossible travel u approvazzjonijiet suspettużi b’suċċess |
| RESPOND | Wettaq trijaġġ tat-twissijiet, irrevoka sessjonijiet, resetja kredenzjali, ippreserva l-evidenza u nnotifika lill-partijiet interessati |
| RECOVER | Irrestawra aċċess fdat, aġġorna l-kontrolli, ikkompleta l-lezzjonijiet mitgħallma u r-rappurtar lill-maniġment |
COBIT 2019 iżid ċarezza fil-governanza. Awditur orjentat lejn COBIT jista’ jħares lejn DSS05.04 Manage identity and logical access, DSS05 Manage security services, APO13 Managed security u MEA03 Managed compliance with external requirements. Il-fokus mhuwiex il-fornitur tal-MFA. Huwa jekk l-awtentikazzjoni tappoġġax l-objettivi tan-negozju, jekk id-drittijiet tal-aċċess humiex iggvernati, jekk il-monitoraġġ huwiex effettiv, u jekk il-maniġment jirċevix assigurazzjoni sinifikanti.
Immappjar ikkonsolidat jgħin lit-timijiet tal-konformità jevitaw talbiet frammentati għall-evidenza:
| Kontroll ISO/IEC 27002:2022 | NIS2 | DORA | GDPR | Lenti tal-awditjar NIST u COBIT |
|---|---|---|---|---|
| 5.17 Informazzjoni tal-awtentikazzjoni | Article 21 miżuri ta’ ġestjoni tar-riskju u kontroll tal-aċċess | Article 9 protezzjoni u prevenzjoni | Article 32 sigurtà tal-ipproċessar | NIST SP 800-53 IA-5, COBIT DSS05.04 |
| 8.5 Awtentikazzjoni sigura | Article 21 awtentikazzjoni b’diversi fatturi jew kontinwa fejn xieraq | Article 9 awtentikazzjoni b’saħħitha u kontrolli tal-aċċess | Article 32 miżuri tekniċi xierqa | NIST CSF PROTECT, COBIT DSS05.04 |
| 8.15 Logging | Article 21 immaniġġjar tal-inċidenti u effettività tal-kontrolli | Article 10 appoġġ għas-sejbien u Article 17 proċess tal-inċidenti | Article 33 appoġġ għall-evalwazzjoni tal-ksur | Familja AU ta’ NIST SP 800-53, COBIT DSS05 |
| 8.16 Attivitajiet ta’ monitoraġġ | Article 21 sejbien u Article 23 tħejjija għar-rappurtar | Article 10 sejbien ta’ attività anomala | Article 33 u 34 appoġġ għan-notifika tal-ksur | NIST SP 800-53 SI-4, NIST CSF DETECT |
| 5.24 sa 5.26 Ġestjoni tal-inċidenti | Article 23 rappurtar tal-inċidenti fi stadji | Article 17 ġestjoni tal-inċidenti tal-ICT | Article 33 notifika fi żmien 72 siegħa fejn meħtieġ | NIST CSF RESPOND, COBIT DSS02 u DSS05 |
X’se jitolbu l-awdituri u r-regolaturi
Programm b’saħħtu għall-għeja tal-MFA għandu jiflaħ diversi stili ta’ awditjar. Il-gwida Zenith Controls ta’ Clarysec għall-konformità bejn oqfsa differenti turi kif il-kontrolli ISO/IEC 27002:2022 jiġu ttestjati madwar metodoloġiji ISO, NIST, COBIT u ISACA.
| Sfond tal-awditur | X’x’aktarx jistaqsi | Evidenza li twieġeb tajjeb |
|---|---|---|
| Awditur taċ-ċertifikazzjoni ISO 27001:2022 | Ir-riskju tal-għeja tal-MFA huwa identifikat, trattat, implimentat u rrieżaminat fi ħdan l-ISMS? | Reġistru tar-Riskji, Dikjarazzjoni ta’ Applikabbiltà, politika tal-awtentikazzjoni, esportazzjonijiet tal-konfigurazzjoni, riżultati tal-awditjar intern |
| Awditur tal-ISMS bi stil ISO/IEC 27007 | Il-kontrolli tal-awtentikazzjoni qed jaħdmu b’mod effettiv u huma allinjati mar-riskju? | Rapporti tal-kopertura tal-MFA, rieżamijiet tal-aċċess privileġġjat, tickets ta’ twissijiet għal talbiet falluti |
| Valutatur NIST | Ir-riżultati tal-ġestjoni tal-mezzi ta’ awtentikazzjoni, il-kontroll tal-aċċess, ir-reġistrazzjoni tal-awditjar, il-monitoraġġ u r-rispons għall-inċidenti huma implimentati? | Reġistri tal-mezzi ta’ awtentikazzjoni, settings ta’ lockout tal-kont, evidenza tar-rieżami tal-awditjar, reġistri tar-rispons għall-inċidenti |
| Awditur COBIT 2019 | Il-proċessi tal-identità, l-aċċess, il-monitoraġġ u l-konformità huma ggovernati u mkejla? | Sjieda tal-kontrolli, KRIs, rapporti tal-maniġment, Reġistru tal-Eċċezzjonijiet, traċċar tar-rimedjazzjoni |
| Awditur ISACA ITAF | L-evidenza hija suffiċjenti, affidabbli u traċċabbli? | Logs bit-timestamp, screenshots, tickets, approvazzjonijiet, intervisti mal-utenti, riżultati tat-testijiet |
| Awditur tal-privatezza | Aċċess mhux awtorizzat għall-PII skattar evalwazzjoni u azzjoni xierqa? | Rekord tal-inċident REG10, kamp ta’ applikazzjoni tal-logging REG12, evalwazzjoni tal-ksur, log tad-deċiżjoni tan-notifika |
| Regolatur NIS2 jew DORA | L-organizzazzjoni skopriet, eskalat, ikklassifikat u tejbet wara l-inċident? | Linja taż-żmien tat-twissija, ticket tal-inċident, eskalazzjoni eżekuttiva, analiżi tal-kawża ewlenija, pjan ta’ azzjoni korrettiva |
Programm dgħajjef jgħid, “Staqsejna lill-utent u għamilna reset tal-password.” Programm iggvernat jipproduċi twissija SIEM, ticket tal-inċident, rekord tar-revoka tas-sessjoni, evidenza tar-reset tal-password, rieżami tal-fattur MFA, analiżi tal-log tal-aċċess, evalwazzjoni tal-PII, evalwazzjoni tal-iskattatur tar-rappurtar, dikjarazzjoni tal-kawża ewlenija, azzjonijiet korrettivi u input għar-rieżami tal-ġestjoni.
Pjan ta’ azzjoni ta’ 30 jum għall-governanza tal-għeja tal-MFA
L-għan mhuwiex il-perfezzjoni fi 30 jum. L-għan huwa viżibbiltà, sjieda u evidenza.
Ġimgħa 1: identifika u skopra l-kamp ta’ applikazzjoni
- Elenka l-fornituri kollha tal-identità, VPNs, consoles cloud, pjattaformi SaaS u għodod ta’ aċċess privileġġjat.
- Identifika sistemi b’data personali, data finanzjarja, aċċess għall-ambjent ta’ produzzjoni jew funzjonijiet b’impatt fuq is-servizz.
- Esporta l-metodi MFA u l-eċċezzjonijiet attwali.
- Identifika kontijiet esterni u tal-fornituri.
- Żid l-għeja tal-MFA u l-push bombing fir-Reġistru tar-Riskji.
- Assenja sid tar-riskju u sid tat-trattament.
Ġimgħa 2: saħħaħ l-awtentikazzjoni
- Iddiżattiva awtentikazzjoni legata.
- Eħtieġ MFA reżistenti għall-phishing għall-amministraturi fejn fattibbli.
- Attiva tqabbil tan-numri u kuntest tal-applikazzjoni għall-MFA push.
- Applika aċċess kondizzjonali għall-post, il-konformità tal-apparat u impossible travel.
- Illimita talbiet push ripetuti.
- Eħtieġ awtentikazzjoni mill-ġdid għal azzjonijiet b’riskju għoli.
- Agħmel il-kontijiet ta’ servizz mhux interattivi fejn possibbli.
- Iddokumenta eċċezzjonijiet b’data ta’ skadenza u kontrolli kumpensatorji.
Ġimgħa 3: immonitorja u wettaq provi
- Żgura li l-logs tal-awtentikazzjoni jaqbdu suċċess, falliment, tul tas-sessjoni u użu tal-MFA.
- Oħloq regoli ta’ twissija għal talbiet ripetuti, talbiet miċħuda segwiti minn approvazzjoni, reġistrazzjoni ta’ apparat ġdid u post mhux tas-soltu.
- Ittestja t-twissijiet b’simulazzjoni kkontrollata.
- Ivverifika l-ħolqien u l-eskalazzjoni tat-ticket tal-inċident.
- Ħarreġ lill-utenti b’eżerċizzju qasir dwar “talba MFA mhux mistennija”.
- Aġġorna scripts tal-helpdesk biex tipprevjeni inġinerija soċjali waqt resets tal-passwords u reġistrazzjoni mill-ġdid tal-MFA.
Ġimgħa 4: evidenza u rieżami tal-ġestjoni
- Aħżen esportazzjonijiet tal-konfigurazzjoni u screenshots.
- Irreġistra r-riżultati tar-rieżamijiet tal-aċċess.
- Rabat it-tlestija tat-taħriġ ma’ utenti privileġġjati.
- Irrevedi inċidenti u near misses.
- Aġġorna d-Dikjarazzjoni ta’ Applikabbiltà u l-pjan ta’ trattament.
- Ippreżenta r-riskju residwu u l-metriċi lill-maniġment.
- Skeda kampjunar tal-awditjar intern.
Agħmel l-għeja tal-MFA adatta għall-awditjar qabel issir notifikabbli
L-għeja tal-MFA tfakkar li l-kontrolli tas-sigurtà jfallu fil-konnessjonijiet bejniethom: bejn l-identità u l-monitoraġġ, bejn il-politika u t-taħriġ, bejn il-fornituri u l-aċċess intern, bejn ir-rispons għall-inċidenti u r-rappurtar tal-privatezza.
L-organizzazzjonijiet li jimmaniġġjawha tajjeb ma “jattivawx l-MFA” biss. Huma jiggvernaw l-awtentikazzjoni bħala ċiklu tal-ħajja, jimmonitorjawha bħala sinjal ta’ theddid, iħarrġu lill-utenti bħala parti mill-kontroll, u jippreservaw l-evidenza bħala parti mill-ISMS.
Clarysec tgħaqqad tliet assi:
- Il-Zenith Blueprint: An Auditor’s 30-Step Roadmap, speċjalment il-Pass 19 għall-awtentikazzjoni sigura, il-Pass 22 għall-informazzjoni tal-awtentikazzjoni, u l-Pass 16 għar-rappurtar tal-inċidenti mmexxi mill-persunal.
- Il-mudelli tal-politiki ta’ Clarysec, inklużi P38 Politika dwar Komunikazzjonijiet Siguri u Awtentikazzjoni b’Diversi Fatturi (MFA), P22S Politika tal-Illoggjar u l-Monitoraġġ - SME, P11S Politika dwar il-Ġestjoni tal-Kontijiet tal-Utenti u tal-Privileġġi - SME, Politika dwar l-Għarfien tas-Sigurtà tal-Informazzjoni u t-Taħriġ - SME, Politika tas-Sigurtà u l-Kontroll tal-Aċċess tal-PII, u Politika tal-Ġestjoni tal-Inċidenti u l-Ksur tal-PII.
- Zenith Controls: The Cross-Compliance Guide, li jimmappja l-kontrolli ISO/IEC 27002:2022 5.17, 8.5, 8.15 u 8.16 ma’ kontrolli ta’ appoġġ, aspettattivi tal-awditjar ISO, GDPR, NIS2, DORA, NIST u COBIT.
Jekk int CISO, maniġer tal-konformità, awditur jew sid tan-negozju, wettaq rieżami ta’ ġimgħa tal-evidenza dwar l-għeja tal-MFA. Iġbed il-konfigurazzjoni tal-MFA, il-logs tal-awtentikazzjoni, il-lista tal-aċċess privileġġjat, il-lista tal-aċċess tal-fornituri, il-playbook tal-inċidenti, il-materjal tat-taħriġ u r-Reġistru tal-Eċċezzjonijiet. Jekk dawn l-artifacts ma jirrakkontawx storja koerenti waħda, Clarysec tista’ tgħinek tibni l-pakkett ta’ kontrolli qabel ma attakkant, awditur jew regolatur jitolbu għalih.
Esplora l-Zenith Blueprint, irrevedi Zenith Controls, jew skeda sejħa ta’ discovery ma’ Clarysec biex tibdel l-għeja tal-MFA minn sorpriża fil-livell tal-bord għal programm ta’ awtentikazzjoni difensibbli u li jista’ jiġi awditjat.
Frequently Asked Questions
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council
