Uwierzytelnianie dwuskładnikowe w firmie: gdzie włączyć je najpierw
Hasło wycieka, bo ktoś użył go w dwóch miejscach albo wpisał na fałszywej stronie. Drugi składnik sprawia, że samo hasło przestaje wystarczać do wejścia na konto.
Autor: Szymon Łakomy. Aktualizacja:
Gdzie włączyć w pierwszej kolejności
Nie trzeba zabezpieczać wszystkiego jednego dnia. Zaczynam od kont, których przejęcie otwiera drogę do kolejnych.
- Poczta firmowa. Przez nią działa reset hasła do prawie każdej innej usługi, więc jej przejęcie jest najgroźniejsze.
- Konta administracyjne. Panel domeny, hostingu, chmury i systemów firmowych. Jeden błąd obejmuje tu całą firmę.
- Bank i księgowość. Bankowość internetowa oraz programy do faktur i rozliczeń.
- Dyski i chmura z dokumentami. Wspólne foldery, w których leżą umowy i oferty.
- CRM i narzędzia sprzedaży. Baza klientów to dane osobowe, które trzeba chronić.
- Profile firmy w mediach społecznościowych. Przejęte konto służy potem do oszustw na Twoich klientach.
Aplikacja, SMS czy klucz sprzętowy
| Metoda | Zalety | Ograniczenia |
|---|---|---|
| Aplikacja uwierzytelniająca | działa bez zasięgu, kody zmieniają się co chwilę, nie wymaga zakupu sprzętu | przy zmianie telefonu trzeba przenieść konfigurację |
| SMS | najprostszy w użyciu, każdy ma telefon | numer da się przejąć u operatora, a wiadomość może nie dojść poza zasięgiem |
| Klucz sprzętowy | odporny na fałszywe strony logowania, szybkie zatwierdzanie | trzeba kupić, mieć drugi na zapas i pilnować, żeby się nie zgubił |
Dla większości małych biur proponuję aplikację jako standard, a klucz sprzętowy dla właściciela, administratorów i osób zatwierdzających przelewy.
Kody awaryjne i nowy telefon
Najczęstszy kłopot po wdrożeniu to nie atak, tylko pracownik z zepsutym telefonem, który nie wejdzie na pocztę przed ważnym spotkaniem. Rozwiązuję to z wyprzedzeniem:
- kody awaryjne, które usługa generuje przy włączaniu drugiego składnika, są wydrukowane albo zapisane w menedżerze haseł, a nie w notatce na tym samym telefonie,
- administrator ma opisaną procedurę resetu drugiego składnika po potwierdzeniu tożsamości pracownika,
- nowy telefon jest konfigurowany, zanim stary zostanie oddany lub wyczyszczony,
- konta właściciela i administratora mają co najmniej dwie metody, na wypadek utraty jednej.
Jak wprowadzić to w zespole bez oporu
Najpierw wyjaśnienie
Pokazuję, jak wygląda przejęcie konta w praktyce. Opór maleje, gdy ludzie rozumieją, że chodzi o ich pocztę i dane klientów, a nie o kontrolę.
Start od chętnych
Dwie, trzy osoby testują logowanie przez tydzień. Dopiero po poprawkach dołączają pozostali.
Jedna data dla wszystkich
Ustalam dzień, od którego drugi składnik jest wymagany. Krótki okres przejściowy działa lepiej niż dobrowolność bez końca.
Pomoc przy pierwszym logowaniu
Wtedy pada najwięcej pytań, więc pomagam zespołowi na miejscu na Śląsku albo zdalnie.
Czego drugi składnik nie załatwia
Zmniejsza skutki wycieku hasła, ale nie chroni przed wszystkim. Nadal potrzebne są unikalne hasła, które opisuję na stronie menedżer haseł dla firmy, kopie danych i ostrożność przy wiadomościach, której uczę na szkoleniu z cyberbezpieczeństwa. Ogólny przegląd zabezpieczeń znajdziesz w poradniku bezpieczeństwo danych w małej firmie.
Przy Microsoft 365 sposób wymuszania zależy od wersji i licencji, więc sprawdzam go w dokumentacji przed wdrożeniem. Szerzej o tej usłudze piszę w Microsoft 365 w małej firmie.
Najczęstsze pytania
Czy SMS jest w ogóle wystarczający?
Jest lepszy niż samo hasło i lepiej go włączyć niż nie włączać nic. Jako metodę docelową proponuję jednak aplikację, bo numer telefonu da się przejąć przez operatora.
Co z kontami wspólnymi, na przykład biuro@?
To najtrudniejszy przypadek, bo kod trafia na telefon jednej osoby. Zwykle zamieniam takie konto na skrzynkę udostępnioną albo trzymam drugi składnik w menedżerze haseł z dostępem dla uprawnionych.
Czy pracownik musi używać prywatnego telefonu?
Nie musi. Alternatywą jest klucz sprzętowy albo telefon służbowy. Jeśli ktoś używa prywatnego, spisujemy zasady, żeby po jego odejściu nie zostały niezamknięte dostępy.
Ile kosztuje wdrożenie?
Zależy od liczby kont, osób i usług, więc wycenę podaję po rozmowie. Jeśli korzystasz ze stałej obsługi IT, której abonament zaczyna się od 399 zł netto miesięcznie, ustalamy, czy wdrożenie mieści się w jej zakresie.
Powiązane strony
Chcesz zabezpieczyć konta w firmie?
Napisz, z jakich usług korzysta zespół i ile osób ma konta. Odpowiem z kolejnością wdrożenia i wyceną.