Η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ), σύμφωνα με τον Ν. 5160/2024 (ΦΕΚ Α’ 195/27.11.2024) που ενσωματώνει την Οδηγία (ΕΕ) 2022/2555 – NIS2, και στο πλαίσιο των αρμοδιοτήτων της για την εξασφάλιση υψηλού επιπέδου κυβερνοασφάλειας στη Δημόσια Διοίκηση, εισηγείται την άμεση ενεργοποίηση και επιβολή Πολυπαραγοντικής Ταυτοποίησης (Multi–Factor Authentication – MFA) για όλους τους χρήστες του Microsoft Entra ID.

 Νομική και Κανονιστική Βάση

• Άρθρο 21 της Οδηγίας NIS2 και το αντίστοιχο εθνικό πλαίσιο απαιτούν την εφαρμογή κατάλληλων και αναλογικών τεχνικών και οργανωτικών μέτρων για τη διαχείριση κινδύνων ασφάλειας δικτύων και πληροφοριακών συστημάτων. Στα μέτρα αυτά περιλαμβάνεται η χρήση ισχυρών μηχανισμών ταυτοποίησης, όπως ο MFA, για την πρόληψη μη εξουσιοδοτημένης πρόσβασης.
• Η ΕΑΚ, βάσει του άρθρου 4 του Ν. 5086/2024, έχει την αρμοδιότητα να καθορίζει και να επιβλέπει την εφαρμογή τεχνικών μέτρων ασφάλειας σε κρίσιμες υποδομές και δημόσιους φορείς. 

Γιατί το MFA θα είναι Υποχρεωτικό

Το 80% των περιστατικών παραβίασης ξεκινά από υποκλοπή κωδικών μέσω phishing και credential theft, ενώ οι επιθέσεις ransomware αξιοποιούν κλεμμένα credentials για lateral movement μέσα στα δίκτυα. Σύμφωνα με το Microsoft Report 2024, η χρήση MFA απέτρεψε το 99,9% των επιθέσεων που βασίζονται σε κλεμμένους κωδικούς. Σε πραγματικό περιστατικό το 2023, ευρωπαϊκός δημόσιος φορέας απέτρεψε απόπειρα παραβίασης μέσω phishing χάρη στoν ενεργοποιημένο MFA. Επιπλέον, μετά τις επιθέσεις SolarWinds, η Ομοσπονδιακή Κυβέρνηση των ΗΠΑ εξέδωσε την οδηγία US OMB Directive, καθιστώντας υποχρεωτικό τo MFA σε όλες τις ομοσπονδιακές υπηρεσίες.

• Συμμόρφωση με NIS2 και Εθνική Στρατηγική Κυβερνοασφάλειας  Το MFA αποτελεί βασικό μέτρο για την επίτευξη του υψηλού κοινού επιπέδου ασφάλειας που απαιτεί η ΕΕ.
• Μείωση κινδύνου παραβίασης  Οι επιθέσεις μέσω υποκλοπής κωδικών (credential theft) είναι η κύρια αιτία περιστατικών κυβερνοασφάλειας.
• Ευρωπαϊκή πρακτική Το MFA είναι ήδη καθιερωμένο πρότυπο σε κυβερνητικούς tenants σε όλη την ΕΕ, και η μη εφαρμογή του εκθέτει τον οργανισμό σε αυξημένο κίνδυνο και πιθανές κυρώσεις.

Η μη συμμόρφωση με τις απαιτήσεις της Οδηγίας NIS2 ενδέχεται να επιφέρει διοικητικές κυρώσεις σύμφωνα με το άρθρο 34 του Ν. 5160/2024.Για διευκρινίσεις ή τεχνική υποστήριξη, μπορείτε να επικοινωνήσετε με την ΕΑΚ μέσω της επίσημης ιστοσελίδας cyber.gov.gr.