Υποχρεωτική ενεργοποίηση πολυπαραγοντικής ταυτοποίησης για τους χρήστες του Microsoft Entra ID στη Δημόσια Διοίκηση

Η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ), σύμφωνα με τον Ν. 5160/2024 (ΦΕΚ Α’ 195/27.11.2024) που ενσωματώνει την Οδηγία (ΕΕ) 2022/2555 – NIS2, και στο πλαίσιο των αρμοδιοτήτων της για την εξασφάλιση υψηλού επιπέδου κυβερνοασφάλειας στη Δημόσια Διοίκηση, εισηγείται την άμεση ενεργοποίηση και επιβολή Πολυπαραγοντικής Ταυτοποίησης (Multi–Factor Authentication – MFA) για όλους τους χρήστες του Microsoft Entra ID.

Νομική και Κανονιστική Βάση

• Άρθρο 21 της Οδηγίας NIS2 και το αντίστοιχο εθνικό πλαίσιο απαιτούν την εφαρμογή κατάλληλων και αναλογικών τεχνικών και οργανωτικών μέτρων για τη διαχείριση κινδύνων ασφάλειας δικτύων και πληροφοριακών συστημάτων. Στα μέτρα αυτά περιλαμβάνεται η χρήση ισχυρών μηχανισμών ταυτοποίησης, όπως η MFA, για την πρόληψη μη εξουσιοδοτημένης πρόσβασης.
• Η ΕΑΚ, βάσει του άρθρου 4 του Ν. 5086/2024, έχει την αρμοδιότητα να καθορίζει και να επιβλέπει την εφαρμογή τεχνικών μέτρων ασφάλειας σε κρίσιμες υποδομές και δημόσιους φορείς.

Γιατί το MFA θα είναι υποχρεωτικό

Το 80% των περιστατικών παραβίασης ξεκινά από υποκλοπή κωδικών μέσω phishing και credential theft, ενώ οι επιθέσεις ransomware αξιοποιούν κλεμμένα credentials για lateral movement μέσα στα δίκτυα. Σύμφωνα με το Microsoft Report 2024, η χρήση MFA απέτρεψε το 99,9% των επιθέσεων που βασίζονται σε κλεμμένους κωδικούς. Σε πραγματικό περιστατικό το 2023, ευρωπαϊκός δημόσιος φορέας απέτρεψε απόπειρα παραβίασης μέσω phishing χάρη στην ενεργοποιημένη MFA. Επιπλέον, μετά τις επιθέσεις SolarWinds, η Ομοσπονδιακή Κυβέρνηση των ΗΠΑ εξέδωσε την οδηγία US OMB Directive, καθιστώντας υποχρεωτική την MFA σε όλες τις ομοσπονδιακές υπηρεσίες.

• Συμμόρφωση με NIS2 και Εθνική Στρατηγική Κυβερνοασφάλειας: Το MFA αποτελεί βασικό μέτρο για την επίτευξη του υψηλού κοινού επιπέδου ασφάλειας που απαιτεί η ΕΕ.
• Μείωση κινδύνου παραβίασης: Οι επιθέσεις μέσω υποκλοπής κωδικών (credential theft) είναι η κύρια αιτία περιστατικών κυβερνοασφάλειας.
• Ευρωπαϊκή πρακτική: Το MFA είναι ήδη καθιερωμένο πρότυπο σε κυβερνητικούς tenants σε όλη την ΕΕ, και η μη εφαρμογή της εκθέτει τον οργανισμό σε αυξημένο κίνδυνο και πιθανές κυρώσεις.