Dvofaktorska avtentikacija: uvedba brez odpora zaposlenih

Dvofaktorska avtentikacija je posamičen ukrep z največjim razmerjem med učinkom in stroškom. Kljub temu marsikje ostaja neuvedena zaradi bojazni pred odzivom zaposlenih. Ta bojazen je v praksi neupravičena — če je uvedba dobro pripravljena.

TL;DR — Ključni poudarki

• Aplikacija s potrditvijo je bistveno varnejša od SMS kode.
• Passkeys in Windows Hello odpravijo večino prijav.
• Izjeme so največja nevarnost — napadalec bo poiskal prav njih.
• Postopek za izgubljen telefon mora biti pripravljen vnaprej.

Katere metode obstajajo

Najpogostejše metode so potrditev v aplikaciji (z ujemanjem številke), enkratna koda iz aplikacije, strojni ključ (FIDO2) in passkeys. SMS je še vedno boljši od ničesar, a je ranljiv za prevzem telefonske številke in prestrezanje.

Za administratorske račune priporočamo strojni ključ ali passkey, za običajne uporabnike pa aplikacijo s potrditvijo. Ob tem s pogojnim dostopom omejimo, kako pogosto se prijava zahteva — na znani in skladni napravi je to redko.

Zakaj je MFA nujen

Geslo je danes predvsem uporabniško ime, ki ga napadalci že imajo.

• Razkrite baze gesel omogočajo napade s preizkušanjem znanih kombinacij.
• Phishing strani zajamejo geslo v realnem času.
• Brez MFA ukraden račun pomeni takojšen dostop do e-pošte in dokumentov.
• Zavarovalnice in naročniki MFA vse pogosteje zahtevajo pogodbeno.

Kako se lotiti — priporočen postopek

1. Popišite račune: uporabniki, administratorji, servisni računi, zunanji.
2. Izberite metode po skupinah in pripravite kratka navodila v slovenščini.
3. Uvedite MFA najprej za administratorje in vodstvo.
4. Nato razširite po oddelkih z dvotedenskim prehodnim obdobjem.
5. Odpravite izjeme; kjer niso mogoče, omejite dostop na znane naprave.
6. Uvedite postopek pomoči ob izgubi telefona z varnim preverjanjem istovetnosti.

Primerjava metod

Najpogostejše napake

Najpogostejša napaka so trajne izjeme za vodstvo ali za en 'problematičen' sistem. Napadalci ciljajo prav te račune, ker vedo, da so pogosto izvzeti.

Druga napaka je odsotnost postopka ob izgubi telefona. Če IT ponastavi MFA po klicu brez preverjanja istovetnosti, je ves ukrep obidljiv s socialnim inženiringom.

Kako pri VitalIT pomagamo

V VitalIT uvedemo MFA in pogojni dostop ter pripravimo navodila in podporo za zaposlene. Poglejte kibernetsko varnost.

Sorodno: Passkeys in Upravljanje gesel v podjetju.

Pogosta vprašanja (FAQ)

Ali potrebujemo dodatne licence?

Za osnovni MFA praviloma ne; pogojni dostop zahteva Entra ID P1, ki je vključen v Business Premium.

Kaj z zaposlenimi brez pametnega telefona?

Uporabimo strojni ključ ali službeno napravo; rešitev obstaja za vsak primer.

Ali morajo zaposleni uporabiti zasebni telefon?

Ni nujno. Alternativa je strojni ključ, kar je tudi pravno čistejša rešitev.

Kako pogosto se bo zahtevala prijava?

Na znani in skladni napravi tipično na nekaj tednov, na novi napravi ob vsaki prijavi.

Ali MFA ustavi vse napade?

Ne vseh, a odpravi veliko večino tistih z ukradenim geslom. Za preostale so potrebni pogojni dostop in nadzor.