Dodatkowy składnik ma znaczenie
MFA łączy różne kategorie potwierdzenia tożsamości, np. hasło i posiadanie klucza. Dwa hasła nie tworzą dwóch składników. Zacznij od poczty, kont administratorów, VPN oraz usług przechowujących dokumenty. Sprawdź, czy polityka rzeczywiście wymaga MFA i czy nie pozostawiono alternatywnej drogi logowania bez tej ochrony.
Metody nie zapewniają tej samej ochrony
SMS może być praktycznym etapem przejściowym, ale zależy od bezpieczeństwa numeru telefonu. Kody z aplikacji nie wymagają SMS, jednak można je wyłudzić na fałszywej stronie. Powiadomienia push też wymagają uwagi: odrzucaj żądania, których nie inicjowałeś, i zgłaszaj ich serię do IT.
Klucze FIDO2 i passkeys
Logowanie FIDO2/WebAuthn wiąże potwierdzenie z właściwą usługą, co chroni przed typowym wyłudzeniem na podszytej stronie. Passkey może być zapisany na urządzeniu, kluczu sprzętowym albo synchronizowany przez dostawcę. Ustal zasady ochrony urządzeń i kont synchronizacji. Nie każdy sposób wdrożenia spełnia te same wymagania dotyczące składników i kontroli klucza.
Przetestuj utratę telefonu lub klucza
Zarejestruj dozwoloną metodę zapasową, a kody odzyskiwania przechowuj w chronionym miejscu. Helpdesk musi zweryfikować tożsamość przed resetem MFA. Przećwicz odzyskanie dostępu bez użycia utraconego urządzenia. Po jego utracie usuń dawną metodę. Chronione konto awaryjne wymaga nadzoru i regularnych testów.