Autentificarea multifactor adaugă o verificare dincolo de parola contului. Pentru implementare, inventariază aplicațiile, alege metodele acceptate și pregătește recuperarea accesului. Protecția depinde de metoda folosită și de excepțiile rămase în configurație.
Ce înseamnă MFA, concret
MFA combină factori din categorii diferite: ceva ce știi, ceva ce deții sau o caracteristică biometrică. Două parole nu înseamnă doi factori. O aplicație de autentificare sau o cheie de securitate poate adăuga verificarea deținerii unui dispozitiv la parola contului.
O parolă furată devine mai greu de folosit, dar MFA nu garantează blocarea atacului. Codurile pot fi cerute pe o pagină falsă, iar notificările push pot fi aprobate din greșeală. NIST SP 800-63B-4 precizează că autentificarea OTP nu este rezistentă la phishing.
Pentru conturile importante, urmărește implementarea unor metode rezistente la phishing, precum FIDO2/WebAuthn. CISA recomandă aceste metode; potrivirea numerelor la notificările push este o măsură intermediară, nu o protecție echivalentă. Verifică și recuperarea contului: o procedură slabă poate ocoli autentificarea bine configurată.
De ce parolele singure nu mai sunt suficiente
O parolă reutilizată pe un serviciu terț poate fi expusă și încercată apoi la contul de email al companiei. MFA poate împiedica accesul bazat numai pe acea parolă. Rămân de verificat metodele vulnerabile la phishing, sesiunile deja deschise și procedurile de recuperare.
Unde contează cel mai mult
E-mail corporate. De cele mai multe ori, punctul de plecare pentru resetarea altor conturi.
VPN și acces remote. Ținta directă pentru mișcarea laterală într-o rețea, dacă un atacator obține credențiale valide.
Conturi administrative. Impactul compromiterii depinde de drepturile contului și de sistemele pe care le poate administra. Prioritizează conturile cu acces extins și verifică separat excepțiile de autentificare.
Pregătește folosirea și recuperarea accesului
„E incomod pentru angajați” merită tratat ca o cerință de implementare: alege metode compatibile cu dispozitivele lor, testează cu un grup mic și pregătește recuperarea accesului. E-mailul companiei, datele clienților și aprobările financiare justifică protecția chiar și într-o echipă mică.
Într-un audit de securitate cibernetică, verifică unde este impus MFA, ce metode sunt permise și ce conturi sau protocoale rămân exceptate. Activează-l treptat, cu proceduri de recuperare testate și fără a lăsa conturile administrative în afara proiectului.