Ni har slagit på tvåfaktor i Microsoft 365. Två veckor senare ringer någon från lagret för att hen bytt telefon och inte kommer in. Någon annan har fått nya engångskoder i ett mejl och undrar om det var vi som skickade dem. Och en medarbetare har stängt av tvåfaktor på sitt eget konto för att det gick snabbare. Det är den vanliga bilden. Själva inställningen är lätt. Det är vardagen runt den som avgör om säkerheten håller.
Tvåfaktor, eller MFA (multi-factor authentication), betyder att inloggningen kräver två olika saker: något du vet, som lösenordet, och något du har, som en kod i en app eller en nyckel. Poängen är att ett stulet lösenord inte räcker. Angriparen behöver även din andra faktor.
Börja med att välja metod medvetet
Det finns flera sätt att lösa den andra faktorn, och de skiljer sig i både säkerhet och krångel. Ta ett beslut per metod innan ni rullar ut något.
- Autentiseringsapp (till exempel Microsoft Authenticator eller Google Authenticator) ger engångskoder i telefonen. Fungerar oftast utan mobiltäckning och är en vanlig standard.
- Säkerhetsnyckel är en liten fysisk enhet som du stoppar i datorn eller håller mot telefonen. Den är robust mot phishing eftersom den kontrollerar vilken adress du faktiskt loggar in på. Nackdelen är att den kan tappas bort och att den kostar pengar.
- SMS-kod är enkel men svagare. Nummer kan flyttas och koder kan fångas upp. Använd det hellre som reserv än som huvudmetod.
- Push-meddelande i app är smidigt men kräver att användaren läser vad som godkänns. Trötta användare trycker ja på allt.
Kontrollera i er leverantörs dokumentation vilka metoder som stöds för just er tjänst och version innan ni bestämmer er. Funktionsnamn och menyer ändras över tid.
Rulla ut i rätt takt
En vanlig miss är att slå på kravet för alla samtidigt utan förvarning. Då får ni en eftermiddag av supportärenden och en del medarbetare som letar genvägar.
- Börja med en liten grupp. Välj ut tre till fem personer som är hyfsat tekniskt trygga och låt dem använda tvåfaktor i ett par veckor. Samla deras frågor.
- Skriv en kort instruktion på en sida. Den ska visa hur man registrerar sin app, hur man byter telefon och var man hämtar reservkoder. Utan det steget återkommer samma frågor varje gång någon byter mobil.
- Sätt ett datum och informera i god tid. Berätta vad som händer, när det händer och vem man ringer om det inte fungerar. Ett fast datum är lättare att förhålla sig till än “snart”.
- Slå på kravet i grupper. Dela upp efter team eller roll, inte efter alfabetet. Då kan ni fånga upp problem i en grupp innan nästa börjar.
Varför det spelar roll: de flesta incidenter vi ser handlar inte om att tvåfaktor saknas, utan om att den kringgås. Någon har en gammal reservväg kvar, eller ett konto som aldrig fick kravet.
Stäng reservvägarna innan de blir problem
När tvåfaktor är på plats gäller det att se över de vägar som fortfarande bara kräver lösenord.
- Äldre protokoll och appar. Vissa mejlklienter och integrationer kan logga in utan tvåfaktor. Gå igenom vilka som används och stäng av de som inte behövs. Fråga leverantören om du är osäker på vad som gäller för er miljö.
- Administratörskonton. De bör ha starkare krav än vanliga konton, till exempel säkerhetsnyckel. Ett adminkonto utan tvåfaktor är en särskilt känslig dörr.
- Delade konton. Om flera personer loggar in på samma konto blir tvåfaktor svår att hantera. Försök ersätta dem med egna konton och rätt behörigheter.
- Reservkoder. Bestäm var de förvaras. Inte i ett mejl till dig själv och inte i en anteckning på skrivbordet.
Gör det enkelt att göra rätt
Säkerhet som är besvärlig blir kringgåen. Ett par enkla vanor sparar tid och frustration.
- Låt medarbetarna registrera två faktorer, gärna två, så att en borttappad telefon inte låser dem ute.
- Ha en tydlig rutin för telefonlyten: vem kontaktar man, vilken identifiering krävs och hur snabbt ska det gå. Skriv ner rutinen så att den inte bara finns i någons huvud.
- Påminn om att aldrig godkänna en inloggning man inte själv startat. En push som dyker upp utan anledning är ett tecken på att någon har lösenordet.
- Följ upp en gång per år. Nya medarbetare, nya enheter och nya tjänster ändrar förutsättningarna.
Nästa åtgärd
Öppna er administrationsportal för Microsoft 365 eller motsvarande tjänst och ta reda på två saker: vilka konton som saknar tvåfaktor i dag, och vilka inloggningsmetoder som fortfarande bara kräver lösenord. Skriv ner listan. Den är er utgångspunkt för de kommande veckornas arbete. Behöver ni stöd i genomgången kan FX Group Sweden hjälpa till med en genomlysning av konton och inloggningsvägar.