Kaip įtvirtinti įprotį visas paskyras apsaugoti dviejų žingsnių apsaugos priemonėmis?

Skaitmeninėje verslo aplinkoje darbuotojų paskyros tapo vienu svarbiausių organizacijos informacinio saugumo elementų. Elektroninis paštas, debesijos platformos, buhalterinės sistemos, klientų valdymo programos, socialinių tinklų paskyros ir vidiniai komunikacijos kanalai saugo konfidencialius duomenis, todėl vien slaptažodžio dažnai nebepakanka. Net sudėtingas slaptažodis gali būti išviliotas, perimtas arba panaudotas keliose skirtingose sistemose, o tai padidina neteisėto prisijungimo riziką.

Dviejų žingsnių autentifikavimas, dar vadinamas dviejų veiksnių autentifikavimu, leidžia papildomai patvirtinti vartotojo tapatybę ir reikšmingai sumažina paskyros perėmimo tikimybę. Vis dėlto techninės priemonės savaime nesukuria saugios organizacijos. Verslui svarbu dviejų žingsnių apsaugą paversti ne vienkartiniu informacinių technologijų projektu, bet kasdiene norma, kurios laikosi vadovai, darbuotojai, išoriniai partneriai ir sistemų administratoriai.

Kodėl vien slaptažodžio nebepakanka?

Slaptažodis yra lengviausiai pažeidžiama autentifikavimo grandinės dalis. Darbuotojai neretai naudoja tuos pačius prisijungimo duomenis keliose sistemose, renkasi lengvai įsimenamus derinius arba perduoda juos kolegoms. Net ir atsakingai sukurtas slaptažodis gali būti atskleistas per apgaulingą elektroninį laišką, netikrą prisijungimo puslapį ar duomenų nutekėjimą iš trečiosios šalies platformos.

Įmonėms tokie incidentai gali sukelti ne tik techninių nepatogumų. Perėmus elektroninio pašto paskyrą, nusikaltėliai gali stebėti korespondenciją, keisti sąskaitose nurodytus banko duomenis, siųsti apgaulingus laiškus klientams ar bandyti prisijungti prie kitų organizacijos sistemų. Dėl šios priežasties patikimi IT saugumo sprendimai turi apimti daugiau negu slaptažodžių sudėtingumo reikalavimus.

Kas yra dviejų žingsnių apsauga?

Dviejų žingsnių autentifikavimas reiškia, kad prisijungdamas vartotojas turi pateikti ne vieną, o bent du tapatybę patvirtinančius elementus. Pirmasis dažniausiai yra tai, ką žmogus žino, pavyzdžiui, slaptažodis. Antrasis gali būti tai, ką jis turi, pavyzdžiui, mobilusis telefonas, autentifikavimo programėlė ar fizinis saugumo raktas.

Kai kuriais atvejais naudojamas ir biometrinis patvirtinimas – piršto atspaudas, veido atpažinimas ar kitas individualus požymis. Toks kelių elementų derinys apsunkina neteisėtą prisijungimą: net sužinojęs slaptažodį, pašalinis asmuo vis tiek negali lengvai patvirtinti antrojo autentifikavimo veiksmo.

Kurioms įmonių paskyroms apsauga būtina pirmiausia?

Idealiu atveju dviejų žingsnių autentifikavimas turėtų būti taikomas visoms verslo paskyroms. Tačiau diegimą galima pradėti nuo sistemų, kurių pažeidimas sukeltų didžiausią finansinę, teisinę ar reputacinę žalą.

Pirmiausia reikėtų apsaugoti administratorių paskyras, elektroninį paštą, debesijos paslaugas, finansų sistemas, dokumentų saugyklas, klientų duomenų bazes ir nuotolinės prieigos sprendimus. Ne mažiau svarbios įmonės socialinių tinklų, reklamos platformų ir interneto svetainės valdymo paskyros. Jų perėmimas gali būti panaudotas klaidinančiai informacijai skelbti, klientams apgauti arba įmonės reputacijai pakenkti.

Ypatingą dėmesį būtina skirti vadovų, finansų specialistų ir sistemų administratorių paskyroms. Šie darbuotojai dažniausiai turi platesnes prieigos teises, todėl jų prisijungimo duomenys nusikaltėliams yra ypač vertingi.

Kaip apsaugą paversti organizacine norma?

Dviejų žingsnių apsaugos diegimas neturėtų būti pristatomas kaip darbuotojų pasirinkimas ar papildomas patogumo mažinimas. Tai turi tapti oficialia įmonės informacinio saugumo politikos dalimi. Vadovybė turėtų aiškiai nustatyti, kurioms sistemoms autentifikavimas yra privalomas, kas atsako už jo administravimą ir kaip sprendžiamos išimtys.

Pokytį lengviau priimti, kai paaiškinama jo priežastis. Darbuotojams svarbu suprasti, kad papildomas patvirtinimas saugo ne tik įmonės duomenis, bet ir jų pačių profesinę reputaciją, korespondenciją bei asmeninę informaciją, susijusią su darbo santykiais.

Vadovai taip pat turi rodyti pavyzdį. Jeigu aukščiausio lygio darbuotojai naudojasi išimtimis arba atidėlioja apsaugos aktyvavimą, organizacijoje susiformuoja nuostata, kad saugumo reikalavimai nėra privalomi. Priešingai, nuoseklus vadovybės dalyvavimas padeda dviejų žingsnių autentifikavimą paversti savaime suprantama darbo kultūros dalimi.

Kokį autentifikavimo metodą pasirinkti?

Paprasčiausias metodas yra vienkartinis kodas, gaunamas trumpąja žinute. Šį metodą lengva įdiegti, todėl toks sprendimas gali būti tinkamas mažesnės rizikos paskyroms. Vis dėlto trumpųjų žinučių kodai nėra pats patikimiausias pasirinkimas, nes mobiliojo ryšio numeris gali būti perimtas, o vartotojas gali būti apgautas ir pats perduoti kodą.

Patikimesnė alternatyva – autentifikavimo programėlė, generuojanti vienkartinius kodus arba siunčianti prisijungimo patvirtinimo užklausas. Tokia priemonė nepriklauso nuo mobiliojo ryšio ir paprastai suteikia aukštesnį saugumo lygį.

Didžiausios rizikos paskyroms rekomenduojami fiziniai saugumo raktai. Jie jungiami prie kompiuterio arba naudojami belaidžiu būdu ir padeda apsisaugoti nuo daugelio duomenų viliojimo atakų. Nors toks sprendimas reikalauja papildomų investicijų, kritines sistemas valdantiems darbuotojams jis dažnai yra racionaliausias pasirinkimas.

Kaip suplanuoti sklandų diegimą?

Prieš pradedant diegimą būtina inventorizuoti įmonėje naudojamas sistemas. Organizacija turi žinoti, kokios paskyros egzistuoja, kas jomis naudojasi, kokios prieigos teisės suteiktos ir ar konkreti platforma palaiko dviejų žingsnių autentifikavimą. Praktikoje paaiškėja, kad dalis paskyrų būna pamirštos, bendros arba susietos su buvusių darbuotojų kontaktais.

Toliau rekomenduojama atlikti bandomąjį diegimą nedidelėje darbuotojų grupėje. Tai leidžia nustatyti techninius nesklandumus, įvertinti naudotojų patirtį ir parengti aiškias instrukcijas. Po bandomojo etapo apsauga gali būti diegiama padalinių arba sistemų grupėmis.

Profesionalūs IT sprendimai verslui leidžia centralizuotai administruoti autentifikavimo politiką, matyti neapsaugotas paskyras ir priverstinai taikyti nustatytus reikalavimus. Centralizuotas valdymas yra ypač svarbus augančioms įmonėms, kuriose darbuotojai naudoja daug debesijos paslaugų ir reguliariai keičiasi jų prieigos teisės.

Kaip sumažinti darbuotojų pasipriešinimą?

Dažniausia darbuotojų abejonė susijusi su papildomu prisijungimo veiksmu. Kai autentifikavimo procedūra pristatoma neaiškiai, ji gali būti vertinama kaip nereikalinga administracinė našta. Todėl organizacija turi pasirūpinti paprastomis instrukcijomis, praktiniais mokymais ir operatyvia pagalba.

Mokymuose verta naudoti konkrečius scenarijus. Pavyzdžiui, galima parodyti, kaip atrodo netikras prisijungimo puslapis, ką daryti gavus netikėtą patvirtinimo užklausą ir kodėl negalima jos priimti automatiškai. Darbuotojai turi būti perspėti apie vadinamąjį autentifikavimo nuovargį, kai nusikaltėlis siunčia daug patvirtinimo užklausų tikėdamasis, kad vartotojas vieną jų patvirtins per klaidą.

Svarbu sudaryti sąlygas darbuotojams greitai pranešti apie įtartinus bandymus. Pranešimas neturi būti vertinamas kaip darbuotojo klaida. Priešingai, laiku perduota informacija leidžia organizacijai sustabdyti incidentą ir patikrinti, ar nėra pažeistos kitos paskyros.

Kaip valdyti telefono praradimo ir prieigos atkūrimo riziką?

Dviejų žingsnių apsauga turi būti diegiama kartu su aiškia prieigos atkūrimo procedūra. Darbuotojas gali prarasti telefoną, pakeisti įrenginį arba netyčia pašalinti autentifikavimo programėlę. Jeigu atkūrimo procesas nėra suplanuotas, saugumo priemonė gali sutrikdyti darbą ir paskatinti naudoti neoficialius sprendimus.

Įmonė turėtų nustatyti atsarginių kodų saugojimo tvarką, turėti alternatyvų autentifikavimo metodą ir apibrėžti, kas gali atkurti darbuotojo prieigą. Tapatybė turi būti patikrinama pagal iš anksto nustatytą procedūrą, o ne vien telefonu pateikus prašymą administratoriui.

Fiziniams saugumo raktams rekomenduojama numatyti atsarginį raktą. Jis turi būti laikomas saugioje vietoje ir registruojamas taip, kad organizacija galėtų kontroliuoti jo naudojimą.

Kaip įvertinti, ar priemonė veikia?

Vien aktyvuoti dviejų žingsnių autentifikavimą nepakanka. Įmonė turėtų reguliariai tikrinti, kokia dalis paskyrų yra apsaugota, ar nėra nepagrįstų išimčių ir ar darbuotojų prieigos panaikinamos jiems išėjus iš darbo.

Vertinga stebėti nesėkmingus prisijungimus, neįprastas geografines vietas, pakartotines patvirtinimo užklausas ir bandymus apeiti nustatytą politiką. Šie duomenys padeda nustatyti galimas atakas ir įvertinti, ar pasirinkti IT saugumo sprendimai atitinka realius organizacijos poreikius.

Saugumo politika turėtų būti peržiūrima bent periodiškai ir pasikeitus įmonės technologinei aplinkai. Įdiegus naują sistemą, įsigijus kitą įmonę ar pradėjus bendradarbiauti su išoriniais specialistais, būtina iš naujo įvertinti autentifikavimo reikalavimus.

Kodėl geriausias sprendimas yra centralizuotas valdymas?

Atskiras dviejų žingsnių apsaugos aktyvavimas kiekvienoje platformoje yra geriau negu jokios papildomos apsaugos, tačiau toks modelis tampa sudėtingas augant įmonei. Administratoriams sunku kontroliuoti, kurie darbuotojai aktyvavo apsaugą, kokius metodus pasirinko ir ar buvusių darbuotojų paskyros buvo tinkamai uždarytos.

Centralizuota tapatybės ir prieigos valdymo sistema leidžia taikyti vienodas taisykles, integruoti prisijungimą prie skirtingų programų ir operatyviai panaikinti prieigas. Ji taip pat gali padėti įdiegti vieningą prisijungimą, sąlyginės prieigos politiką ir papildomą patvirtinimą tais atvejais, kai nustatomas neįprastas įrenginys ar prisijungimo vieta.

Lietuvos verslui tai ypač aktualu dėl didėjančio debesijos paslaugų naudojimo, nuotolinio darbo ir bendradarbiavimo su išoriniais partneriais. Centralizuoti IT sprendimai verslui padeda suderinti saugumą, patogumą ir administravimo efektyvumą, todėl ilgalaikėje perspektyvoje jie yra patikimesni už pavienes, tarpusavyje nesusietas priemones.

Dviejų žingsnių autentifikavimas turi tapti tokia pat įprasta verslo praktika kaip atsarginės duomenų kopijos ar darbuotojų prieigos panaikinimas pasibaigus darbo santykiams. Organizacija, kuri nuosekliai taiko šią priemonę, ne tik sumažina paskyrų perėmimo riziką, bet ir stiprina bendrą saugumo kultūrą. Didžiausią rezultatą suteikia centralizuotas sprendimas, aiški politika, vadovybės pavyzdys ir reguliarus darbuotojų švietimas.