Bank Spółdzielczy w Karczewie: Studium przypadku użycia Rublon MFA

Wyzwanie

Zgodność z regulacjami

Instytucje finansowe muszą od 17 stycznia 2025 r. spełniać wymogi rozporządzenia Digital Operational Resilience Act (DORA), które nakazuje m.in. wdrożenie tzw. „silnego uwierzytelniania użytkowników”. Jednocześnie dyrektywa NIS2 rozszerza obowiązek wdrożenia uwierzytelniania wieloskładnikowego na wszystkie „podmioty kluczowe”, a w Polsce uzupełnia ją ustawa o krajowym systemie cyberbezpieczeństwa (KSC). Banki są również zobowiązane do przestrzegania standardów RODO.

Silne zabezpieczenie

Bank chciał mieć pewność, że tylko upoważnieni pracownicy mają dostęp do danych. W obliczu rosnącej liczby prób przejęć kont (ATO), co jest obecnie jednym z najpopularniejszych wektorów ataków według raportów branżowych, pojawiła się potrzeba wdrożenia dodatkowego zabezpieczenia, które zniwelowałoby poziom ryzyka, spełniało surowe wymagania dotyczące bezpieczeństwa informacji, a jednocześnie nie wymagało zakupu drogich kluczy sprzętowych. Bankowi zależało nie na dwóch, ale aż trzech składnikach uwierzytelniania, czyli wprowadzeniu uwierzytelniania trójskładnikowego (3FA) w celu jak najlepszej ochrony dostępu do VPN.

Łatwość wdrożenia i obsługi

Bank chciał zrealizować projekt w krótkim czasie i z przewidywalnym budżetem. Do tego konieczne było znalezienie rozwiązania, które spełni wszystkie wymagania banku, a jednocześnie będzie proste w obsłudze dla administratorów i wygodne dla użytkowników. Dodatkowym wyzwaniem był fakt, że dane użytkowników logujących się do VPN były przechowywane w usłudze Active Directory, a więc poszukiwane rozwiązanie musiało umożliwiać integrację z tą usługą katalogową oraz synchronizację użytkowników w celu bezproblemowego zarządzania tożsamościami.

Rozwiązanie

W Banku Spółdzielczym w Karczewie wdrożono platformę do uwierzytelniania wieloskładnikowego Rublon MFA.

Bank rozważał różnych dostawców uwierzytelniania wieloskładnikowego, ale ostatecznie zdecydował się na Rublon MFA, ponieważ ich uwagę zwróciła opcja synchronizacji katalogów oraz możliwość ochrony dostępu do VPN za pomocą wygodnej i prostej w użyciu metody uwierzytelniania Powiadomienie mobilne wraz z dodatkowym biometrycznym zabezpieczeniem aplikacji mobilnej za pomocą odcisku palca. Zgodność ze wszystkimi regulacjami obowiązującymi sektor finansowy była dodatkowym atutem rozwiązania firmy Rublon.

Opłacalne cenowo centralnie zarządzane uwierzytelnianie MFA bez dodatkowego sprzętu

Bank w Karczewie nie musiał kupować żadnego dodatkowego sprzętu. Elastyczny model cenowy i niski próg wejścia usługi Rublon MFA sprawiły, że uwierzytelnianie Rublon MFA stało się dla banku bardzo opłacalnym rozwiązaniem. Bank zintegrował uwierzytelnianie trójskładnikowe Rublon MFA ze swoim VPN-em za pomocą usługi Rublon Authentication Proxy, co pozwoliło dodatkowo zabezpieczyć dostęp pracowników do sieci firmowej. Dodatkowy krok logowania dodany przez Rublon MFA polega na wysłaniu do pracownika powiadomienia push na telefon z zainstalowaną aplikacją Rublon Authenticator. W aplikacji została włączona opcja ochrony za pomocą odcisku palca, co pozwoliło dodać element biometryczny i tym samym włączyć uwierzytelnianie trójskładnikowe (hasło, push, odcisk palca). Powiadomienie mobilne to szybka i wygodna metoda uwierzytelniania, która pozwala potwierdzać dostęp zaledwie jednym dotknięciem. Nie spowalnia pracy, oferując jednocześnie wysoki poziom bezpieczeństwa dostępu.

Integracja z VPN i synchronizacja użytkowników z Active Directory

Bank używał usługi Active Directory jako dostawcy tożsamości. Platforma Rublon MFA zintegrowana została z istniejącą infrastrukturą, gdzie użytkownicy logowali się do VPN za pomocą danych uwierzytelniających z katalogu Active Directory. Ponadto użyto usługi Directory Sync w celu zsynchronizowania użytkowników z Active Directory do konsoli administracyjnej Rublon Admin Console. Taka synchronizacja sprawiła, że nie było konieczne ani manualne dodawanie użytkowników, ani stopniowa ich rejestracja, a cały proces dodania użytkowników był o wiele szybszy.

Osiągnięcie zgodności z DORA, NIS2, KSC i RODO

Wprowadzenie Rublon MFA spełniło wymóg „silnego uwierzytelniania użytkowników” wskazany w art. 9 DORA, który jest obligatoryjny dla podmiotów finansowych od stycznia 2025 r. Zastosowanie powiadomień push jako drugiego składnika odpowiadało też środkom bezpieczeństwa NIS2 (art. 21 ust. 2 lit. d) nakazującym wdrożenie MFA w instytucjach kluczowych i ważnych. Dodatkowo, logowanie wieloskładnikowe zrealizowało zasadę „prywatność w fazie projektowania” z RODO w praktyce, ograniczając ryzyko nieuprawnionego dostępu do danych osobowych. Dzięki temu bank może podczas kontroli nadzorczych przedstawić kompletne logi MFA, polityki i procedury, dokumentując zgodność z każdą z czterech regulacji bez angażowania dodatkowych narzędzi lub kosztów.

Korzyści z wdrożenia Rublon MFA

Pełna zgodność regulacyjna	Implementacja MFA spełnia wymagania DORA art. 9, NIS2 art. 21 i ustawy KSC dot. „środków uwierzytelniania wieloskładnikowego”.
Eliminacja przejęć kont	Po włączeniu MFA bank nie odnotował żadnego skutecznego ataku typu ATO; statystyki Microsoft pokazują, że MFA blokuje 99,9% takich ataków.
Jedna konsola, zerowy overhead	Synchronizacja z Active Directory usuwa konieczność ręcznego tworzenia kont przez administratorów; wszelkie zmiany w AD są odzwierciedlane w Rublon MFA.
Bezproblemowe logowanie dla pracowników	Powiadomienie push to tylko jedno dotknięcie; brak konieczności przepisywania kodów OTP czy zakupu drogich kluczy sprzętowych.
Stały koszt i łatwe budżetowanie	3-letnia subskrypcja stabilizuje wydatki operacyjne i ułatwia planowanie finansowe.