Багатофакторна автентифікація за допомогою двох пристроїв.

Protect accounts with multifactor authentication

Cybersecurity Starter Kit: Section 3

У цьому розділі ви навчитеся:

Дізнайтеся, як багатофакторна автентифікація (MFA) захищає ваші облікові записи.
Ознайомтеся з різними методами MFA та оберіть ті, що підходять саме для вашої організації.
Налаштуйте безпечне відновлення облікового запису та навчіться розпізнавати підозрілі запити на вхід.

Облікові записи вашої некомерційної організації забезпечують людям доступ до електронної пошти, файлів, фінансових даних та необхідних послуг.

Захист цих облікових записів допомагає захистити все, до чого можна отримати доступ через них.
Надійний, унікальний пароль — це важливий засіб захисту. Багатофакторна автентифікація (MFA) додає ще один рівень перевірки, щоб підтвердити, що особа, яка входить у систему, має на це право. Це може значно знизити корисність вкраденого пароля для тих, хто намагається отримати доступ до вашого облікового запису.

Що таке MFA?

Для входу в систему MFA вимагає двох або більше різних типів підтвердження:

Те, що ти знаєш

Пароль або PIN-код

Те, чим ти є

Відбиток пальця або розпізнавання обличчя, що використовуються для розблокування аутентифікатора

Те, що у тебе є

Зареєстрований телефон, додаток для аутентифікації або ключ безпеки

Наприклад, ви можете ввести свій пароль, а потім — код, згенерований додатком-аутентифікатором на вашому телефоні. Ви також можете натрапити на термін «двофакторна автентифікація» (2FA). Це багатофакторна автентифікація (MFA), що використовує два типи підтвердження. Пароль у поєднанні з контрольним питанням не забезпечує такого самого рівня захисту: обидва ці методи ґрунтуються на інформації, яку ви знаєте.

Як це виглядає на практиці?

Співробітник входить в обліковий запис електронної пошти організації. Після введення пароля йому пропонується підтвердити вхід за допомогою додатка для аутентифікації.
Тому, хто отримає цей пароль, зазвичай знадобиться додатковий етап автентифікації, щоб отримати доступ.
Багатофакторна автентифікація (MFA) підвищує рівень захисту облікового запису, але деякі методи все ще можна обійти за допомогою фішингу або шляхом обману користувача, щоб той схвалив запит. Продовжуйте перевіряти незвичайні запити навіть тоді, коли MFA увімкнено.

Ознайомтеся зі своїми варіантами

Доступні варіанти залежать від сервісу та налаштувань вашого облікового запису.

телефон і ноутбук з банківським додатком

SMS-повідомлення або телефонний дзвінок

На зареєстрований номер телефону надсилається код.

Забезпечує додатковий захист порівняно з використанням лише пароля, але є вразливим до перехоплення та незаконного заволодіння номером телефону.

Коди з додатка-аутентифікатора

Додаток генерує одноразові коди, які потрібно вводити під час входу в систему.

Це не залежить від отримання SMS-повідомлення. Коди все одно можна перехопити через підроблену сторінку входу.

Запити на підтвердження автентифікатора

Додаток просить вас підтвердити вхід, іноді шляхом введення відповідного номера.

Перевірка відповідності номера є кращим варіантом, ніж просте запитання про підтвердження чи відхилення. Підтверджуйте лише ті входи, які ви ініціювали самі.

Ключі безпеки FIDO або парольні ключі

Зареєстрований ключ безпеки або пароль на пристрої підтверджує вхід у сервіс.

Розроблено для захисту від фішингу під час входу в систему. Безпека облікового запису, як і раніше, залежить від захисту пристрою, налаштувань відновлення доступу та інших методів входу, які залишаються увімкненими.

Що означає “захищений від фішингу”?

Паролі прив’язані до сервісу, для якого вони були створені, що допомагає запобігти викраденню підробленим веб-сайтом облікових даних, які можуть бути використані на справжньому сайті. Це спеціальний засіб захисту для процесу входу в систему.
Це не заважає комусь піддатися на вмовляння та надіслати гроші, розкрити інформацію або надати доступ після входу в систему. Зламаний пристрій, викрадена сесія з авторизацією або недостатньо надійний спосіб відновлення облікового запису також можуть поставити під загрозу безпеку облікового запису.
У тих випадках, коли це можливо та доцільно, методи захисту від фішингу можуть підвищити рівень безпеки входу в систему. Якщо на даний момент їх застосування є недоцільним, використовуйте доступний метод багатофакторної автентифікації (MFA), паралельно плануючи подальші вдосконалення.
Примітка щодо ключів доступу: Пароль-ключ може замінити звичайний пароль. Дозвіл на його використання може надаватися за допомогою PIN-коду пристрою, відбитка пальця або розпізнавання обличчя; ці перевірки самі по собі не є паролем-ключем. Перш ніж перейти на використання паролів-ключів, з’ясуйте, де вони зберігаються, чи синхронізуються вони між пристроями та як ваша організація відновить доступ у разі втрати пристрою або звільнення співробітника.

Почніть з найважливіших клієнтів

Скористайтеся переліком із розділу 1, щоб вирішити, з чого почати. Визначте пріоритети:

Електронна пошта, оскільки на нього часто надходять повідомлення про зміну пароля для інших облікових записів.
Облікові записи адміністраторів, за допомогою якого можна змінювати налаштування та надавати доступ.
Банківська справа, послуги з розрахунку заробітної плати та здійснення платежів.
Хмарне сховище і системи що містять конфіденційну інформацію.
Веб-сайт, соціальні мережі і рахунки для збору коштів які можуть бути використані для видавання себе за вашу організацію.
Перевірте облікові записи всіх користувачів. Те, що багатофакторна автентифікація (MFA) увімкнена для одного адміністратора, ще не означає, що вона увімкнена для всіх.
Якщо це дозволяє сервіс, слід вимагати використання багатофакторної аутентифікації (MFA) через налаштування на рівні організації, а не покладатися лише на те, що окремі користувачі самостійно її увімкнуть.

Налаштуйте систему з урахуванням можливості відновлення

Перш ніж увімкнути багатофакторну автентифікацію (MFA), домовтеся, хто координуватиме цей процес і допомагатиме тим, у кого виникнуть труднощі.

Відкрийте службу безпосередньо.

Скористайтеся офіційним веб-сайтом або додатком і знайдіть налаштування безпеки облікового запису.

Оберіть відповідний метод.

Варто врахувати важливість облікового запису, наявні можливості та потреби людини щодо доступу.

Зареєструйте метод і протестуйте його.

Переконайтеся, що ця особа може успішно пройти процедуру входу в систему.

Визначте маршрут евакуації.

Залежно від сервісу це можуть бути коди відновлення, другий зареєстрований засіб автентифікації або уповноважений адміністратор, який може скинути налаштування багатофакторної автентифікації (MFA). Охороняйте ці способи відновлення, оскільки вони також можуть надати доступ до облікового запису.

Запишіть аранжування.

Зверніть увагу на те, які методи активовано, хто відповідає за відновлення та де безпечно зберігається інформація про відновлення. Не вказуйте власне коди у загальних робочих аркушах.

Зробіть це зручним для співробітників та волонтерів

Перш ніж обирати метод, обговоріть практичні потреби.

Чи є серед співробітників ті, хто не має смартфона? Чи використовуються особисті телефони для роботи? Чи знадобиться співробітникам доступ до мережі під час подорожей або в місцях, де немає покриття мобільного зв’язку? Чи існують перешкоди для доступності?

Розгляньте доступні альтернативи, такі як ключ безпеки, та з’ясуйте всі витрати, перш ніж їх впроваджувати. Багато сервісів підтримують багатофакторну автентифікацію (MFA), але деякі методи або функції управління на рівні організації можуть залежати від тарифного плану.

Для доступу членів команди, по можливості використовуйте індивідуальні облікові записи з відповідними правами доступу. Уникайте ситуацій, коли кілька осіб залежать від однієї людини, яка має пересилати їм коди або затверджувати їхній вхід у систему.

У разі використання паролів-ключів узгодьте, чи можна їх зберігати в особистих облікових записах, чи їх необхідно управляти через сервіс, затверджений організацією. Переконайтеся, що така схема передбачає можливість скасування доступу та забезпечення безперервності роботи у разі звільнення співробітника.

руки складені, вертикальне масштабування

Дізнайтеся, як діяти у разі несподіваного запиту

Затверджуйте лише ті запити на автентифікацію, які ви самі ініціювали. Якщо ви не ініціювали цей запит, не затверджуйте його — навіть якщо запити продовжують надходити або хтось, хто представляється співробітником служби підтримки, просить вас погодитися.

Якщо ви отримаєте несподіване повідомлення або код:

У разі можливості відхиліть запит.

Негайно повідомте про це призначеній вам контактній особі.

Відкрийте сервіс безпосередньо, щоб переглянути активність на рахунку та, за потреби, отримати допомогу.

Дотримуйтесь процедури реагування вашої організації, щоб забезпечити безпеку облікового запису.

Несподіваний запит не обов’язково означає, що хтось отримав доступ до облікового запису, але на нього варто звернути увагу.
Ніколи не повідомляйте код входу або код відновлення особам, які телефонують вам, надсилають електронні листи чи повідомлення. Вводьте код лише під час офіційної процедури входу, яку ви самі ініціювали.

План щодо нових телефонів та співробітників, які звільняються

Коли хтось змінює телефон, переконайтеся, що новий спосіб автентифікації працює, перш ніж видаляти старий.
Коли хтось звільняється, передайте необхідну організаційну інформацію та обов’язки, скасуйте його доступ та оновіть налаштування автентифікації або відновлення доступу, якими він керував. У разі спільних організаційних облікових записів переконайтеся, що особа, яка звільняється, більше не може пройти автентифікацію або відновити доступ. Це включає видалення зареєстрованих паролів або ключів безпеки, якщо це доречно.
Забезпечте запасний шлях доступу для адміністратора з критично важливими повноваженнями, щоб організація могла відновити роботу, не покладаючись на одну особу.

Пропоноване правило політики

Функція MFA має бути увімкнена для облікових записів організації скрізь, де це підтримується, причому пріоритет слід надавати електронній пошті, доступу адміністраторів, фінансовим послугам та конфіденційній інформації. Затверджені методи автентифікації та механізми відновлення доступу мають бути задокументовані та захищені. Користувачі не повинні ділитися кодами входу або затверджувати запити, які вони не ініціювали. Винятки вимагають затвердження, заходів захисту та дати перегляду.

Перш ніж затвердити це правило, слід визначити, хто затверджує методи, надає допомогу користувачам та керує відновленням.

Діяльність

Перевірте свої пріоритетні рахунки

Записуйте налаштування, а не паролі чи коди відновлення. Вкажіть альтернативні способи входу та відновлення, щоб ви могли оцінити загальний рівень захисту облікового запису.

Якщо MFA недоступна, зафіксуйте це обмеження та вирішіть, які додаткові заходи безпеки або альтернативні послуги слід розглянути.

Завантажити робочий аркуш можна тут

Висновок

До кінця цього розділу ви повинні:

Перевірено охоплення MFA для ваших пріоритетних облікових записів.
Визначено відповідні методи та виявлено практичні перешкоди.
Встановлено порядок відновлення даних та розподіл відповідальності за створення резервних копій.
Пояснено, як діяти у разі несподіваних запитів на автентифікацію.
Зрозуміло, що посилений захист при вході в систему діє у поєднанні з іншими заходами безпеки.

Далі ви ознайомитеся з менеджерами паролів, а також дізнаєтеся, як керувати унікальними паролями та доступом у організації.

Текст пароля, відредагований за допомогою клавіатури 1

Розділ 4: Як полегшити управління паролями

Неприбутковим організаціям потрібні надійні, унікальні паролі та ефективне управління доступом до облікових записів, щоб забезпечити безпеку інформації та безперебійну роботу в разі відсутності або звільнення співробітників.

Див. розділ 4