Uwierzytelnianie wieloskładnikowe (MFA) w firmie: od czego zacząć

Hasło można wykraść, podejrzeć, odgadnąć albo kupić w pakiecie danych z wycieku. Drugi składnik logowania, na przykład potwierdzenie w aplikacji na telefonie albo klucz sprzętowy, sprawia, że samo hasło atakującemu nie wystarczy. Dlatego uwierzytelnianie wieloskładnikowe (MFA) w firmie należy do zabezpieczeń, które dają dużo przy niewielkim wysiłku. Technologia rzadko sprawia kłopot. Kłopot sprawia zwykle kolejność wdrożenia i rozmowa z zespołem.

Najpierw konta, które otwierają najwięcej drzwi

Nie musisz włączać MFA wszędzie jednego dnia. Rozsądniej zacząć od miejsc, przez które atakujący wchodzą najczęściej i gdzie przejęte konto wyrządza największe szkody:

1. Konta administracyjne: administrator Microsoft 365, domeny, firewalla, programu do kopii zapasowych, rejestratora domeny internetowej.
2. Dostęp zdalny do firmy, czyli VPN, pulpit zdalny i panele urządzeń widocznych z internetu.
3. Poczta wszystkich pracowników. Przejęta skrzynka służy do wysyłki fałszywych faktur do klientów i do resetowania haseł w innych usługach.
4. Bankowość elektroniczna i systemy finansowe. Banki zwykle już wymagają drugiego składnika, ale sprawdź konta wszystkich osób z uprawnieniami.
5. Systemy branżowe i chmurowe: CRM, platformy sprzedażowe, portale dostawców, system ERP dostępny z zewnątrz.

SMS, aplikacja czy klucz sprzętowy

Metody MFA różnią się wygodą i odpornością na ataki.

• SMS jest najprostszy i najsłabszy. Lepszy niż brak MFA, ale podatny na przechwycenie i ataki na kartę SIM, więc nadaje się na metodę awaryjną, nie podstawową.
• Aplikacja z kodem jednorazowym generuje kod zmieniający się co kilkadziesiąt sekund. Działa bez zasięgu i obsługuje ją większość usług.
• Aplikacja z powiadomieniem push jest wygodna, bo wystarczy zatwierdzić logowanie. Włącz w niej wpisywanie numeru z ekranu logowania, żeby ograniczyć bezmyślne zatwierdzanie.
• Klucze sprzętowe i passkeys najlepiej opierają się phishingowi, bo nie da się ich „przepisać” na fałszywej stronie. To dobry wybór dla administratorów i zarządu.

Częsty układ wygląda tak: aplikacja na telefonie dla wszystkich pracowników, klucze sprzętowe dla kont uprzywilejowanych.

Uwierzytelnianie wieloskładnikowe w Microsoft 365

Jeśli firma korzysta z Microsoft 365, masz do dyspozycji dwa podejścia. Ustawienia domyślne zabezpieczeń włączają MFA dla wszystkich i blokują starsze protokoły logowania, które drugiego składnika nie obsługują. Dla małej firmy to dobry punkt startowy.

Więcej swobody dają zasady dostępu warunkowego z wyższych planów. Możesz w nich wymagać MFA tylko poza biurem, blokować logowanie z wybranych krajów albo żądać zarządzanego urządzenia przy dostępie do danych firmowych. Różnice między planami opisujemy w artykule o wyborze planu Microsoft 365.

Plan wdrożenia na sześć tygodni

Tydzień 1: spis systemów i kont

Spisz systemy, do których pracownicy się logują, oraz wszystkie konta administracyjne. Zwykle wychodzą wtedy na jaw konta wspólne, jak „biuro@” używane przez trzy osoby, i stare konta byłych pracowników. Wspólne konto to kłopot, bo drugi składnik jest przypisany do jednego telefonu.

Tydzień 2: administratorzy i dostęp zdalny

Włącz MFA dla kont administracyjnych i VPN. Grupa jest mała, a zysk największy. Przy okazji upewnij się, że istnieje konto awaryjne z bezpiecznie przechowanymi danymi, gdyby administrator zgubił telefon.

Tydzień 3: informacja dla zespołu

Wyślij pracownikom krótką wiadomość: co się zmienia, dlaczego, od kiedy i jak będzie wyglądać pierwsza konfiguracja. Dołącz jednostronicową instrukcję ze zrzutami ekranu. Uprzedź, że niespodziewana prośba o zatwierdzenie logowania oznacza, że ktoś zna ich hasło. Taką sytuację trzeba zgłosić.

Tydzień 4–5: wdrożenie działami

Włączaj MFA grupami. Zacznij od działów, które często pracują poza biurem, i od osób z dostępem do finansów. W pierwszych dniach zarezerwuj czas na pomoc przy konfiguracji telefonów.

Tydzień 6: porządki

Wyłącz starsze protokoły logowania, przejrzyj raporty logowań i ustal procedurę dla zgubionego lub wymienionego telefonu. Nowi pracownicy powinni konfigurować MFA od pierwszego dnia, więc dopisz ten punkt do checklisty IT dla nowego pracownika.

Prywatne telefony, wspólne konta i stare skanery

• Pracownik nie chce instalować aplikacji na prywatnym telefonie. Firma może mu wydać klucz sprzętowy lub token, tak jak wydaje klucz do biura.
• Z jednego konta korzysta kilka osób. Zamień je na skrzynkę współdzieloną z dostępem nadanym imiennie albo na osobne konta.
• Niektóre urządzenia nie obsługują MFA, na przykład skanery wysyłające pliki mailem. Skonfiguruj dla nich osobny, ograniczony sposób wysyłki. Wyłączanie zabezpieczenia dla wszystkich to zły pomysł.
• Ludzie męczą się powiadomieniami. Gdy prośby o zatwierdzenie pojawiają się zbyt często, pracownicy klikają je odruchowo. Ustaw rozsądny czas zapamiętania zaufanego urządzenia i wymagaj wpisania numeru.

Procedura na wypadek zgubionego telefonu

Zgubiony lub wymieniony telefon to najczęstsze zgłoszenie po wdrożeniu MFA. Ustal z góry, jak je obsłużyć:

1. pracownik zgłasza utratę telefonu od razu, a nie dopiero wtedy, gdy musi się zalogować,
2. administrator potwierdza tożsamość pracownika innym kanałem, na przykład osobiście lub przez przełożonego,
3. stara metoda logowania zostaje usunięta, a aktywne sesje wylogowane,
4. pracownik rejestruje nowe urządzenie lub dostaje tymczasowy dostęp na ograniczony czas.

Weryfikacja tożsamości ma znaczenie. Podszywanie się pod pracownika, który „zgubił telefon”, to znany sposób na obejście MFA przez rozmowę z helpdeskiem. Zachęć też pracowników do zarejestrowania drugiej metody, na przykład klucza sprzętowego, żeby utrata telefonu nie blokowała pracy.

Jak sprawdzić, że MFA naprawdę działa

Po wdrożeniu przejrzyj raport logowań i listę kont bez zarejestrowanej metody MFA. Często zostają wyjątki dodane „na chwilę” podczas wdrożenia, konta techniczne albo konta osób na długim urlopie. Każdy wyjątek powinien mieć właściciela, uzasadnienie i datę przeglądu. Raz na kwartał sprawdź też, czy nowe systemy w firmie wymagają drugiego składnika.

Handlowiec, który dostał prośbę o logowanie, którego nie robił

Typowy scenariusz wygląda tak. W firmie handlowej ktoś loguje się na skrzynkę handlowca hasłem wyłudzonym przez fałszywą stronę logowania. MFA jest już włączone, więc atakujący utyka na drugim kroku, a handlowiec dostaje na telefon prośbę o zatwierdzenie logowania, którego nie wykonywał. Zgłasza to i po kilku minutach hasło jest zmienione. Bez MFA ta sama sytuacja kończy się zwykle wysyłką fałszywych faktur do klientów z prawdziwej skrzynki.

MFA najlepiej działa razem z menedżerem haseł i szkoleniem z rozpoznawania phishingu. Pomożemy zaplanować wdrożenie tak, żeby biuro pracowało normalnie przez cały ten czas: napisz do nas w sprawie obsługi IT Twojej firmy.