Dvojfaktorové overenie účtov: bezpečné zavedenie

Zmapujte účty a určte, kde má overenie najvyššiu prioritu

Začnite zoznamom pracovných e-mailov, cloudových úložísk, fakturačných systémov, administrácie webu, reklamných účtov a ďalších služieb, cez ktoré možno pristupovať k firemným dátam. Pri každej službe zaznamenajte vlastníka, správcov, používanú metódu prihlásenia a dostupné možnosti viacfaktorového overenia. Prednostne riešte účty s oprávnením meniť používateľov, platobné nastavenia alebo bezpečnostné pravidlá. Nezabudnite na spoločné účty, ktoré bývajú problematické pri odovzdávaní prístupov. Zoznam hesiel do bežného zadania zákazky nepatrí; IT technikovi stačí opis systémov a požadovaného výsledku.

Vyberte vhodnú metódu a rozlišujte pohodlie od odolnosti

Nie všetky druhé faktory poskytujú rovnakú ochranu. Ak služba podporuje bezpečnostné kľúče alebo prístupové kľúče viazané na overenú doménu, môžu lepšie odolávať podvodným prihlasovacím stránkam než jednorazové kódy. Overovacie aplikácie sú často praktickou možnosťou; SMS môže byť použiteľná tam, kde iná metóda nie je dostupná, no treba rátať s rizikami súvisiacimi s telefónnym číslom. Voľba závisí od podporovaných funkcií, zariadení, pracovných postupov a rizika konkrétneho účtu. Pred plošným zapnutím vyskúšajte postup na malom počte účtov a overte, že používatelia rozumejú výzvam na prihlásenie. Pred zavedením dvojfaktorového overenia pripravte zoznam firemných služieb, správcov účtov a kritických používateľských rolí. Najväčším rizikom nemusí byť samotné zapnutie ochrany, ale strata prístupu pri výmene mobilu alebo odchode zamestnanca. Rozhodnite preto, kto môže schvaľovať zmeny prihlásenia a kde budú bezpečne uložené obnovovacie kódy. Tie nikdy neuvádzajte vo verejnom zadaní ani neposielajte cez bežnú skupinovú komunikáciu. Pri výbere metódy je vhodné posúdiť odolnosť voči phishingu a kompatibilitu s používanými zariadeniami. Pri väčšej organizácii sa oplatí vypracovať pilotný plán pre menšiu skupinu. S realizáciou môžu pomôcť IT služby a vývoj.

Pripravte obnovu prístupu ešte pred zapnutím 2FA

Stratený alebo vymenený telefón nemá znamenať, že firma príde o prístup k účtovníctvu či e-mailu. Zistite, či poskytovateľ umožňuje záložné kódy, druhý bezpečnostný kľúč, obnovovací kontakt alebo samostatný správcovský účet. Záložné kódy ukladajte do vhodne zabezpečeného úložiska s obmedzeným prístupom, nie do otvoreného dokumentu alebo správy v chate. Vopred určte, kto smie obnovu vykonať a ako sa jeho oprávnenie overí. Samotné kódy, heslá ani prihlasovacie odkazy nikdy nevkladajte do verejného dopytu na službu. Osobitnú pozornosť venujte spoločným účtom, ktoré používa viac pracovníkov. Takéto prihlásenie sťažuje dohľadanie zmien a môže obchádzať bežné pravidlá pre používateľské roly. Ak systém umožňuje samostatné účty, overte túto možnosť a nastavte oprávnenia podľa pracovných potrieb. Pri odchode zamestnanca nestačí odobrať firemný telefón; treba ukončiť aj jeho prístup a aktívne relácie. Správca má pripraviť kontrolný zoznam, ktorý sa použije pri nástupe, zmene roly i odchode.

Zaveďte pravidlá pre nástup, zmenu roly a odchod zamestnanca

Pri nástupe človeka vytvorte jeho vlastný účet s primeranými oprávneniami a vysvetlite mu spôsob overovania aj postup pri strate zariadenia. Pri zmene pracovnej roly skontrolujte, či má stále prístup len k potrebným službám. Pri odchode odoberte prístupy a preverujte aj externé aplikácie, aktívne relácie a prípadné zdieľané prihlasovacie údaje podľa možností daného systému. Vytvorte stručný interný návod, aby pracovníci vedeli rozoznať nevyžiadanú výzvu na potvrdenie prihlásenia. Neobvyklé výzvy sa nemajú automaticky schvaľovať. V ponuke nech je uvedené, ktoré účty a systémy dodávateľ nastaví, ako bude overovať funkčnosť a ako bude prebiehať školenie pracovníkov. Pri zavedení postupujte po etapách, aby neboli všetci používatelia naraz odrezaní od pracovných nástrojov. Pre každý dôležitý účet si nechajte potvrdiť proces obnovy prístupu a pravidlo, že reset musí overiť totožnosť žiadateľa. Zmeny oprávnení zaznamenávajte do interného protokolu bez zapisovania hesiel a samotných tajných kódov. Pri odovzdaní otestujte prihlásenie na náhradnom zariadení a zrozumiteľnosť postupu pri strate mobilu. Dlhodobú starostlivosť možno špecifikovať ako správu firemných účtov a sietí.

Ako pripraviť zadanie pre IT správcu a prevziať výsledok

Do dopytu uveďte približný počet používateľov, názvy používaných služieb, existujúce správcovské roly, typy zariadení a požiadavku na bezpečnú obnovu prístupu. Požiadajte o návrh poradia zavádzania, krátke zaškolenie a dokumentáciu, kto spravuje jednotlivé účty. Pri odovzdaní si nechajte predviesť prihlásenie, test obnovy na vhodnom testovacom účte a postup odobratia prístupu. Dohodnite tiež, ako sa budú riešiť budúce výmeny telefónov a personálne zmeny. Dobrý výsledok nie je len zapnutá funkcia, ale aj proces, ktorý firma dokáže bezpečne udržiavať. Ak hľadáte odbornú pomoc, môžete vytvoriť dopyt s opisom úlohy a podstatnými informáciami. Odoslanie dopytu samo osebe nezaručuje rezerváciu.

Kontrolný zoznam

Spíšte používané firemné služby a určte ich správcov.
Uprednostnite účty s prístupom k citlivým údajom alebo platbám.
Overte, ktoré metódy 2FA jednotlivé služby podporujú.
Pripravte bezpečné uloženie záložných kódov a obnovovacích možností.
Určte zodpovednosť za obnovu pri strate zariadenia.
Vyskúšajte nastavenie najprv na obmedzenom počte účtov.
Zaveďte postupy pri nástupe a odchode pracovníkov.
Od IT správcu žiadajte dokumentáciu, zaškolenie a overenie obnovy.

Časté otázky

Stačí na firemné účty overovanie cez SMS?

SMS je pri niektorých službách lepšia než samotné heslo, ale nemusí byť najodolnejšou možnosťou. Ak služba podporuje bezpečnostný kľúč alebo iný spôsob odolnejší voči phishingu, zvážte ho najmä pri správcovských účtoch.

Kam uložiť záložné kódy?

Do zabezpečeného úložiska s jasne určenými oprávnenými osobami a pravidlami prístupu. Neposielajte ich v bežnom e-maile ani ich nevkladajte do verejného zadania zákazky.

Čo robiť, keď zamestnanec stratí telefón?

Použite vopred dohodnutý obnovovací postup danej služby, overte totožnosť žiadateľa a podľa potreby zrušte väzbu na stratené zariadenie. Bez pripravených záložných možností môže byť obnova výrazne zložitejšia.

Je potrebné zapnúť 2FA aj pre externého účtovníka alebo dodávateľa?

Ak má externista vlastný prístup do firemnej služby, nastavte mu primerané oprávnenia a využite dostupné bezpečnostné overenie. Vyhnite sa zdieľaniu jedného správcovského účtu viacerými osobami.