Protect accounts with multifactor authentication

Cybersecurity Starter Kit: Section 3

在本节中，您将学习：

了解多因素身份验证（MFA）如何保护您的账户。.
探索各种MFA方法，并为您的组织选择合适的方法。.
设置安全的账户恢复机制，并识别可疑的登录请求。.

贵非营利组织的账户将人们与电子邮件、文件、财务信息以及各项基本服务联系起来。.

保护这些账户，有助于保护通过它们可以访问的所有内容。.
一个强而独特的密码是一道重要的防护措施。多因素身份验证（MFA）增加了额外的验证步骤，以确认登录者具有授权资格。这可以大大降低被盗密码对试图访问您账户的人的利用价值。.

什么是MFA？

使用 MFA 登录时，系统需要您提供两种或两种以上不同类型的验证凭据：

你所知道的某件事

密码或个人识别码

你就是那样的人

用于解锁身份验证器的指纹或面部识别

你拥有的某样东西

已注册的手机、身份验证应用或安全密钥

例如，您可能先输入密码，然后输入手机上身份验证应用生成的验证码。您可能还会看到“双因素认证”（2FA）这一术语。这是一种使用两种验证方式的多因素认证（MFA）。仅使用密码加安全问题则无法提供同等程度的保护：这两种方式都依赖于“您知道的内容”。.

实际操作起来是什么样子的？

一名员工登录了该组织的电子邮件账户。输入密码后，系统要求其通过身份验证应用确认登录。.
通常情况下，即使有人获得了该密码，仍需经过额外的身份验证步骤才能获得访问权限。.
多因素认证（MFA）虽然加强了账户保护，但某些方法仍可能被网络钓鱼或诱骗用户批准请求等手段所突破。即使启用了多因素认证，也请继续对异常请求进行核实。.

了解您的选择

可选选项取决于服务以及您的账户设置。.

短信或电话

系统会向注册的手机号码发送一条验证码。.

虽然比仅使用密码提供了额外的保护，但仍容易遭到截获和手机号码被劫持。.

验证器应用生成的验证码

一款应用程序会生成一次性验证码，您在登录时需要输入该验证码。.

不依赖于接收短信。仍可通过伪造的登录页面获取验证码。.

身份验证器批准提示

某款应用会要求您批准登录请求，有时需要通过匹配一个数字来完成。.

与简单的“批准/拒绝”提示相比，号码匹配更为可取。请仅批准您自己发起的登录请求。.

FIDO 安全密钥或通行密钥

设备上的已注册安全密钥或通行密钥用于验证用户对该服务的登录。.

旨在防范登录过程中的网络钓鱼攻击。账户安全仍取决于设备保护、账户恢复措施以及任何其他仍处于启用状态的登录方式。.

“防网络钓鱼”是什么意思？

密钥与创建它们时所对应的服务相关联, ，这有助于防止假网站窃取凭据，从而避免这些凭据被用于真实网站。这是针对登录过程的一项特定保护措施。.
这并不能防止用户在登录后被说服而汇款、泄露信息或授予访问权限。设备遭入侵、登录会话被盗或账户恢复方法不够安全，都可能危及账户安全。.
在可行且实际的情况下，采用防钓鱼措施可以增强登录安全保护。如果目前尚不具备实施条件，请在规划改进措施的同时，使用现有的多因素身份验证（MFA）方法。.
关于通行密钥的说明: 通行密钥可以替代密码。设备 PIN 码、指纹或面部识别可用于授权其使用；这些验证方式本身并非通行密钥。在采用通行密钥之前，请确认其存储位置、是否会在不同设备间同步，以及当设备丢失或员工离职时，贵组织将如何恢复访问权限。.

从最重要的账户开始

请参考第1节中的清单来决定从哪里开始。请按优先级排序：

电子邮件, ，因为它经常收到其他账户的密码重置消息。.
管理员账户, ，该功能可更改设置并授予访问权限。.
银行业, ，薪资和支付服务。.
云存储 和系统包含敏感信息。.
网站, 社交媒体 和 筹款账户 这些信息可能会被用于冒充贵组织。.
请检查每个用户的账户。某位管理员启用了多因素认证（MFA），并不意味着所有用户都已启用该功能。.
如果某项服务支持，应通过全组织范围的设置强制要求使用多因素身份验证（MFA），而不是仅依赖用户自行开启该功能。.

在设置时要考虑到恢复情况

在启用多因素身份验证（MFA）之前，请确定由谁来统筹此次变更，并协助遇到困难的用户。.

直接打开该服务。.

请访问其官方网站或使用其应用程序，找到账户安全设置。.

选择一种合适的方法。.

请综合考虑该账户的重要性、可选方案以及该人员的访问需求。.

注册该方法并对其进行测试。.

确认该用户能够成功完成登录。.

制定一条恢复路线。.

根据具体服务不同，这可能涉及恢复码、第二个已注册的身份验证器，或者能够重置多因素身份验证（MFA）的授权管理员。请妥善保护这些恢复途径，因为它们同样可以用于访问该账户。.

将编曲录制下来。.

请注意哪些方法已启用、由谁负责恢复操作，以及恢复信息被安全存储在何处。请勿将实际代码放在通用工作表中。.

确保员工和志愿者能够切实执行

在选择方法之前，应先讨论实际需求。.

有人没有智能手机吗？是否使用个人手机处理工作事务？人们在出差或没有手机信号时是否需要访问系统？是否存在无障碍访问障碍？

请考虑采用受支持的替代方案（例如安全密钥），并在采用前确认相关费用。许多服务都包含多因素身份验证（MFA），但某些验证方法或全组织范围的管理功能可能取决于所选套餐。.

对于团队访问，请尽可能使用具有相应权限的个人账户。应避免出现多人依赖某一人转发验证码或批准其登录的情况。.

如果使用通行密钥，需明确约定是允许将其存储在个人账户中，还是必须通过组织批准的服务进行管理。确保该安排能够支持在人员离职时撤销访问权限并保障业务连续性。.

知道如何应对突如其来的请求

请仅批准您自己发起的登录认证请求。如果该请求并非由您发起，请勿批准——即使请求不断涌入，或者有人自称是技术支持人员要求您接受，也请勿批准。.

如果您收到意外的提示或代码：

在可能的情况下拒绝该请求。.

请立即向您的指定联系人报告此事。.

直接打开该服务以查看账户活动，如有需要，可获得帮助。.

请按照贵组织的应急响应流程采取措施，确保账户安全。.

出现意外的请求并不一定意味着有人访问了该账户，但值得引起重视。.
切勿将登录码或恢复码告知通过电话、电子邮件或消息联系您的任何人。请仅在您主动发起的正规登录流程中输入该码。.

关于新手机和离职员工的计划

当有人更换手机时，请在移除旧的身份验证方式之前，确认新的身份验证方式能否正常使用。.
当有人离职时，应移交必要的组织信息和职责，撤销其访问权限，并更新其曾控制的身份验证或账户恢复安排。对于共享的组织账户，应确认离职人员无法再进行身份验证或恢复访问权限。这包括在适用情况下撤销其已注册的密码密钥或安全密钥。.
为关键管理员访问权限保留一条备用路径，以便组织在无需依赖某一个人的情况下恢复正常运作。.

一项建议的政策规则

在支持多因素身份验证（MFA）的任何情况下，都必须为组织账户启用该功能，并优先保障电子邮件、管理员访问权限、金融服务及敏感信息的安全。经批准的身份验证方法和恢复措施必须以书面形式记录并加以保护。用户不得共享登录码，也不得批准非本人发起的请求。如有例外情况，须经批准，并采取相应保护措施及设定审查日期。.

在采用此规则之前，应明确由谁负责审批方法、协助用户以及管理恢复工作。.

活动

查看您的优先账户

请记录账户设置，而非密码或恢复码。请包含备用登录和恢复方式，以便您评估该账户的整体安全性。.

如果无法使用MFA，请记录该限制情况，并决定应考虑采取哪些额外的安全措施或替代服务。.

点击此处下载练习题

您的收获

学习完本节内容后，您应该能够：

已检查您优先账户的多因素认证（MFA）覆盖情况。.
选择了适当的方法，并查明了实际存在的障碍。.
建立了受保护的恢复机制和备份职责。.
说明了如何处理意外的身份验证请求。.
我们理解，更强的登录保护措施应与其他安全措施相结合。.

接下来，您将了解密码管理器，以及如何管理唯一密码和组织访问权限。.

第4节：让密码易于管理

非营利组织需要设置强密码和独特密码，并实施有效的账户访问管理，以确保信息安全，并在员工休假或离职时保障业务连续性。.