Hesla unikají. Lidé je používají na více místech, zadávají je do podvodných přihlašovacích stránek a škodlivý software je krade přímo z prohlížeče. Dvoufázové přihlášení (anglicky MFA nebo 2FA) přidává k heslu druhý krok, typicky potvrzení v mobilu. Útočník, který zná jen heslo, se pak do účtu nedostane.
Kde začít
Nemusíte zapnout všechno najednou. Začněte tam, kde hrozí největší škoda:
- E-mail (Microsoft 365, Google Workspace a další). Přes ukradený e-mail útočníci posílají falešné faktury vašim zákazníkům, resetují hesla k dalším službám a čtou obchodní korespondenci.
- Vzdálený přístup do firmy (VPN, vzdálená plocha). Tudy nejčastěji přichází ransomware.
- Účty správců: administrace Microsoft 365, firewall, servery, registrátor domény, hosting webu.
- Internetové bankovnictví a účetní systém, pokud to ještě nemají.
- Ostatní cloudové služby: CRM, e-shop, sdílení souborů.
Jakou metodu zvolit
- Aplikace v mobilu (Microsoft Authenticator, Google Authenticator a podobné). Nejlepší poměr bezpečnosti a pohodlí pro většinu firem.
- Bezpečnostní klíč (USB nebo NFC klíčenka). Nejbezpečnější varianta, odolná i proti podvodným přihlašovacím stránkám. Vhodná hlavně pro správce a vedení.
- SMS kód. Lepší než nic, ale nejslabší varianta. Používejte ho jen tam, kde jiná možnost není.
Jak to zavést bez odporu zaměstnanců
- Vysvětlete proč. Krátce a konkrétně: „Kdyby někdo získal tvoje heslo, může z tvého e-mailu poslat zákazníkovi falešnou fakturu.“ Lidé spolupracují, když rozumějí důvodu.
- Nastavte to s lidmi, ne za ně. Půlhodina u kávy, kdy si každý nainstaluje aplikaci s pomocí, funguje líp než e-mail s návodem.
- Nevyžadujte potvrzení při každém přihlášení. Moderní systémy umějí ověřovat jen při přihlášení z nového zařízení nebo neobvyklého místa. Otravnost klesne a bezpečnost zůstane.
- Myslete na ty bez služebního mobilu. Pro ně se hodí bezpečnostní klíč. Je levný a nevyžaduje soukromý telefon.
- Mějte postup pro ztracený telefon. Kdo účet obnoví a jak se ověří, že žádost je pravá.
Na co si dát pozor
Dvoufázové přihlášení není neprůstřelné. Útočníci zkoušejí zahltit uživatele žádostmi o potvrzení, dokud jednu omylem neschválí. Proto naučte lidi jedno pravidlo: nikdy neschvaluj přihlášení, které jsi sám nezačal, a takovou žádost nahlas. Pomáhá i nastavení, při kterém uživatel musí opsat číslo zobrazené na obrazovce, místo aby jen klikl na „schválit“.
Proč to chtějí i odběratelé a zákony
Na dvoufázové přihlášení se ptá skoro každý bezpečnostní dotazník odběratele a vyžaduje ho i TISAX. Pro většinu menších firem je to opatření, které zavedou za pár hodin a výrazně jim sníží riziko.
U našich klientů je dvoufázové přihlášení součástí tarifu Správa + Bezpečí. Víc o tom, jak firmy chráníme, najdete na stránce Kybernetická bezpečnost.