Risikovurdering: ingen selvstændig anden faktor oveni adgangskode
| Felt | Værdi |
|---|---|
| Kontrolområde | NIS2 art. 21, stk. 2, litra j (multifaktorautentificering, sikker autentificering) |
| Version | 1.1 |
| Senest opdateret | 2026-09-28 |
| Restrisiko | Middel ved adgangskodelogin, lav ved engangslink |
Foranstaltning
Platformen har ikke et selvstændigt andet faktortrin (fx en app til engangskoder) oveni login med adgangskode. Brugere kan i stedet logge ind med et engangslink til deres e-mail. Login via Entra ID (SSO) er planlagt i forbindelse med onboarding af den første kunde, der kræver det, men findes ikke i dag.
Begrundelse
Et engangslink er gyldigt i 15 minutter og forudsætter, at brugeren har adgang til sin postkasse. Det fjerner adgangskoden som angrebsvej, men er ikke en anden faktor oveni en adgangskode. Vi bygger SSO, hvor en kunde har brug for at håndhæve sin egen identitetsplatform og sine egne MFA-regler, i stedet for at bygge en separat MFA-løsning.
Risiko og restrisiko
Risiko: En bruger, der logger ind med adgangskode, kan blive kompromitteret ved phishing eller genbrug af adgangskoder, uden at en anden faktor stopper angrebet. Ved engangslink afhænger sikkerheden af beskyttelsen af brugerens e-mailkonto.
Restrisiko: middel ved adgangskodelogin, lav ved engangslink, forudsat at kundens e-mailkonti er beskyttet med MFA hos kunden.
Kompenserende foranstaltninger
- Login med engangslink, som er tidsbegrænset (15 minutter) og hastighedsbegrænset.
- Kunden kan lade brugerne logge ind med engangslink og dermed lægge kontrollen hos sin egen e-mailplatform og dens MFA.
- Rollebaseret adgangskontrol med team-isolation.
- Sessioner udløber efter 7 dage.
- Adgangskoder lagres som saltede hashværdier (bcrypt).
- For syv.ai's egne medarbejdere er der MFA på GitHub, og kun én navngiven medarbejder har administratoradgang til Hetzner-kontoen.
Hvorfor restrisikoen er acceptabel
Restrisikoen vurderes som middel og er acceptabel for en midlertidig periode, fordi kunden selv kan fjerne adgangskoden som angrebsvej ved at bruge engangslink, og fordi SSO via Entra ID er planlagt. Afvigelsen består, indtil SSO er indført.
Genvurdering
Vurderingen tages op igen, når Entra ID-login er indført, eller hvis en kunde ikke kan acceptere engangslink som kompensation.