MFA w małej firmie — od czego zacząć i czego nie włączać naraz

Uwierzytelnianie wieloskładnikowe zatrzymuje najczęstszy scenariusz przejęcia konta: ktoś zdobył hasło — z wycieku, z phishingu, z karteczki — i próbuje się zalogować. Samo hasło przestaje wtedy wystarczać.

Trudność nie leży w konfiguracji. Leży w kolejności i w czterech decyzjach, które trzeba podjąć zanim cokolwiek włączysz. Pominięcie ich kończy się zwykle tak samo: pierwszy problematyczny przypadek powoduje awaryjne wyłączenie MFA dla całej firmy, czyli powrót do punktu wyjścia z dodatkową niechęcią zespołu.

Kolejność, która działa

1. Konta administracyjne — dziś, bez ustaleń

Kont administracyjnych jest kilka i zarządzasz nimi Ty. Nie wymaga to rozmów z zespołem, szkoleń ani zapowiedzi.

To jednocześnie konta, których przejęcie kosztuje najwięcej. Jeżeli miałbyś zrobić tylko jedną rzecz z tej notatki, zrób tę.

2. Zarząd i księgowość

Najczęstszy cel ukierunkowanego phishingu i miejsce, gdzie przejęcie konta przekłada się wprost na pieniądze — fałszywe polecenia przelewu wychodzące z prawdziwej skrzynki są skuteczne właśnie dlatego, że są prawdziwe.

To grupa, która najczęściej prosi o wyjątek. Wyjątek jest tu najgorszym pomysłem z możliwych.

3. Dostęp z zewnątrz sieci firmowej

VPN, poczta na telefonie, panele administracyjne dostępne z internetu.

4. Reszta firmy

Dopiero teraz, gdy proces jest przetestowany na mniejszych grupach i znasz odpowiedzi na pytania, które padną.

Cztery decyzje przed włączeniem

Co robimy, gdy ktoś zgubi telefon

To pytanie zdecyduje o powodzeniu całego wdrożenia. Musi istnieć znany sposób odzyskania dostępu, który da się wykonać w rozsądnym czasie i który sam nie jest dziurą.

Praktycznie: każdy użytkownik ma zarejestrowaną co najmniej drugą metodę, a Ty masz procedurę awaryjnego zresetowania z potwierdzeniem tożsamości inaczej niż mailem. Kody zapasowe wydrukowane i schowane sprawdzają się w małych firmach lepiej niż rozwiązania wymyślne.

Kto jest wyjątkiem — i dlaczego nikt

Presja na wyjątki pojawi się od razu. Warto z góry ustalić, że wyjątków nie ma, bo pierwszy wyjątek robi się precedensem w tym samym tygodniu.

Jeżeli ktoś naprawdę nie może korzystać z telefonu, rozwiązaniem jest klucz sprzętowy, a nie zwolnienie z MFA.

Jak często ma pytać

MFA pytające przy każdym logowaniu na tym samym firmowym komputerze zostanie znienawidzone w tydzień. MFA niepytające nigdy nie chroni.

Rozsądny układ: zapamiętanie urządzenia na kilkanaście do trzydziestu dni przy dostępie ze znanego miejsca i sprzętu, a pytanie zawsze przy logowaniu z nowego urządzenia, z nowej lokalizacji i przy dostępie do rzeczy wrażliwych.

Co ze starymi protokołami

Najczęstsze rozczarowanie: MFA włączone, a konto i tak przejęte — bo logowanie poszło starym protokołem pocztowym, który uwierzytelniania dwuskładnikowego nie obsługuje i po prostu je omija.

Włączenie MFA bez zablokowania starych metod uwierzytelniania daje złudzenie ochrony. Warto sprawdzić, czy takie logowania jeszcze występują, zanim je zablokujesz — czasem korzysta z nich stara drukarka albo system do faktur.

Wybór metody, od najlepszej

1. Klucz sprzętowy — najskuteczniejszy, bo odporny na phishing: nie da się go „podać” na podstawionej stronie. Warto dla kont administracyjnych i zarządu.
2. Aplikacja z potwierdzeniem i liczbą do przepisania — dobra i wygodna. Wersja z liczbą wyświetlaną na ekranie logowania jest istotnie lepsza od samego „zatwierdź”, bo eliminuje zatwierdzanie odruchowe.
3. Aplikacja z kodem jednorazowym — dobra, działa bez internetu.
4. SMS — lepszy niż nic, ale najsłabszy: podatny na przeniesienie numeru i na podejrzenie na ekranie blokady. Traktować jako metodę zapasową, nie podstawową.

Czego się spodziewać

Pierwszy tydzień: pytania i kilka osób do rejestracji od nowa. Drugi tydzień: cisza. Po miesiącu nikt tego nie zauważa.

Największy opór budzi zwykle nie samo MFA, tylko poczucie, że wprowadzono je bez uprzedzenia. Zapowiedź na tydzień wcześniej, z jednym akapitem wyjaśnienia i konkretną datą, zdejmuje większość problemu — taniej niż jakiekolwiek narzędzie.