Uwierzytelnianie wieloskładnikowe (MFA) to jeden z tych mechanizmów bezpieczeństwa, o których wszyscy słyszeli, ale nie każda firma wdrożyła go tam, gdzie naprawdę powinien być. MFA nie jest już opcjonalnym dodatkiem — to jeden z podstawowych środków zarządzania ryzykiem, wymagany zarówno wprost, jak i pośrednio przez regulacje typu NIS2.
Problem w praktyce polega na tym, że samo „wdrożenie MFA” bywa robione po łebkach — jeden dodatkowy kod SMS przy logowaniu do jednej aplikacji, podczas gdy dostęp do bazy danych czy panelu administracyjnego serwera nadal chroni samo hasło. Prawdziwe wdrożenie wymaga objęcia wszystkich krytycznych punktów dostępu, nie tylko tych najbardziej widocznych.
SSL VPN, AD, SSO i ZTNA razem
Aleksander Kostuch ze Stormshield pokazywał na konferencji Kongres Bezpieczeństwa Sieci, jak połączyć nowoczesny zdalny dostęp — SSL VPN z integracją Active Directory, single sign-on i mechanizmami Zero Trust Network Access — w jeden spójny system, zamiast zbioru osobnych narzędzi, które trzeba ręcznie ze sobą synchronizować. To podejście, które zmniejsza liczbę miejsc, w których coś może pójść źle, bo administrator zarządza jedną polityką, a nie pięcioma różnymi konsolami.
Dariusz Woźniak z Marken zwracał z kolei uwagę na rolę systemów EDR i XDR jako uzupełnienia MFA — bo nawet najlepsze uwierzytelnianie nie pomoże, jeśli atakujący już znajduje się wewnątrz sieci dzięki innej luce. Bezpieczeństwo warstwowe wciąż wygrywa z pojedynczym, choćby najlepszym zabezpieczeniem.
Opór ludzi, nie technologii
Ciekawy, rzadziej poruszany wątek to opór pracowników wobec dodatkowego kroku przy logowaniu. Wdrożenia, które kładą nacisk wyłącznie na politykę i restrykcje, częściej kończą się próbami obejścia zabezpieczeń niż te, które tłumaczą pracownikom, dlaczego dodatkowy krok ma znaczenie — najlepiej na konkretnym przykładzie z branży, a nie w formie suchego regulaminu.
Jeśli planujecie wdrożenie albo audyt MFA w swojej organizacji, warto zobaczyć, jak robią to inni. Sprawdź program najbliższej konferencji bezpieczeństwa GigaCon i zarejestruj się bezpłatnie.