Weryfikację dwuetapową w firmie zacznij od poczty, bo przez nią resetuje się hasła do wszystkich innych kont. Drugi w kolejności jest panel rejestratora domeny, bo kto ma domenę, ten może przekierować pocztę i stronę. Dalej hosting i panel strony, konta Google i Facebooka firmy, program do faktur i menedżer haseł. Bank zwykle sam wymaga silnego uwierzytelniania, więc tam wystarczy sprawdzić, kto w firmie ma dostęp i z jakimi uprawnieniami.
Po co to w małej firmie
Hasła wyciekają. Z cudzych serwisów, w których ktoś użył tego samego hasła, z fałszywych stron logowania, z karteczki przyklejonej do monitora. Weryfikacja dwuetapowa sprawia, że samo hasło nie wystarczy: przy logowaniu z nowego urządzenia trzeba jeszcze potwierdzić to telefonem, kluczem albo kodem. Włamywacz, który zdobył hasło, zatrzymuje się na drugim kroku.
Opisałem to przy okazji fałszywych faktur: oszust, który wyłudzi hasło do poczty, czyta korespondencję i podmienia numer konta na prawdziwej fakturze. Drugi składnik w większości przypadków zamyka mu tę drogę.
Kolejność: od czego zacząć
| Kolejność | Konto | Dlaczego |
|---|---|---|
| 1 | Poczta firmowa: Microsoft 365, Google Workspace, skrzynka u hostingodawcy | przez pocztę resetuje się hasła do wszystkiego innego |
| 2 | Rejestrator domeny | domena decyduje, dokąd trafia poczta i gdzie prowadzi strona |
| 3 | Hosting i panel strony | włamanie na stronę to podmieniona treść, wirus dla klientów albo wyciek danych z formularzy |
| 4 | Konto Google firmy, Profil Firmy, konto Meta | wizytówka, reklamy, strona na Facebooku |
| 5 | Program do faktur i księgowości | dane klientów, numery kont, historia płatności |
| 6 | Menedżer haseł | trzyma wszystkie pozostałe hasła |
| 7 | Bank | silne uwierzytelnianie zwykle już działa; sprawdź uprawnienia pracowników |
Przy każdym koncie sprawdź przy okazji, kto jeszcze ma do niego dostęp. Często okazuje się, że do panelu domeny loguje się była agencja, a do skrzynki osoba, która odeszła rok temu. Takie dostępy usuwasz od razu, zanim zaczniesz cokolwiek włączać.
Jak to wygląda u mnie
Do panelu websly.pl loguję się bez hasła, sześciocyfrowym kodem wysyłanym na maila. Klienci roland4foto tak samo logują się do swojego panelu, w którym akceptują umowy i wypełniają ankiety. To wygodne, bo nie ma hasła do zapomnienia, ale ma jedną konsekwencję: kto przejmie skrzynkę, przejmie też panel. Dlatego poczta jest u mnie zabezpieczona najmocniej ze wszystkiego. Konto Microsoft, na którym lądują kopie zapasowe roland4foto.com, też wymaga drugiego składnika.
Metody: od najsłabszej do najmocniejszej
Kod SMS
Lepszy niż nic i najprostszy dla osób, które boją się aplikacji. Słabości: kod da się przechwycić na fałszywej stronie logowania, a numer telefonu w skrajnych przypadkach można przejąć u operatora.
Aplikacja z kodami albo powiadomieniem
Google Authenticator, Microsoft Authenticator i podobne. Kod zmienia się co kilkadziesiąt sekund i nie wędruje przez sieć komórkową. Powiadomienie „czy to Ty się logujesz?” jest wygodne, ale uczy klikania „tak” bez czytania. Wybieraj wariant, w którym trzeba przepisać liczbę widoczną na ekranie logowania.
Klucz sprzętowy albo klucz dostępu
Mały klucz USB albo klucz dostępu zapisany w telefonie czy komputerze. Działa tylko na prawdziwej stronie usługi, więc fałszywa strona logowania nic z niego nie wyciągnie. Dla właściciela firmy i osoby od finansów to najlepszy wybór do poczty i banku.
Kody zapasowe i zgubiony telefon
Każda usługa przy włączaniu weryfikacji dwuetapowej podaje kody zapasowe. Wydrukuj je albo zapisz w menedżerze haseł, czyli w miejscu innym niż telefon, który służy do logowania. Gdy telefon zginie, kody pozwalają wejść na konto i ustawić nowe urządzenie.
W Google Workspace i Microsoft 365 administrator firmy może pracownikowi zresetować drugi składnik i wpuścić go z powrotem. Dlatego w firmie powinny być co najmniej dwie osoby z uprawnieniami administratora, a ich konta mają najmocniejsze zabezpieczenia w całej firmie.
Wymuś, zamiast prosić
Prośba „włączcie sobie weryfikację” kończy się tym, że włączą ją dwie osoby z pięciu. Google Workspace pozwala w konsoli administratora wymusić weryfikację dwuetapową dla całej firmy, z okresem przejściowym na jej włączenie. Microsoft 365 ma domyślne ustawienia zabezpieczeń, które każą wszystkim użytkownikom zarejestrować drugi składnik. Ustal termin, pomóż każdemu przy pierwszej konfiguracji, a po terminie konto bez drugiego składnika przestaje działać.
Pierwsza konfiguracja zajmuje kilka minut na osobę, ale zrób ją razem z każdym pracownikiem przy jego telefonie. Samodzielne włączanie kończy się często tym, że ktoś zapisze kody zapasowe na tym samym telefonie albo pominie je zupełnie.
Wymówki, które usłyszysz
„Nie mam czasu na przepisywanie kodów”: przy zaufanym urządzeniu kod jest potrzebny raz na jakiś czas, a nie przy każdym logowaniu. „Nie chcę aplikacji na prywatnym telefonie”: firma może dać klucz sprzętowy albo służbowy telefon. „Komu by się chciało włamywać do takiej małej firmy”: ataki na pocztę są zwykle masowe i automatyczne, nikt nie wybiera ofiar po wielkości. Mała firma bez zabezpieczeń jest łatwiejszym celem niż korporacja z działem bezpieczeństwa.
Hasła dalej mają znaczenie
Weryfikacja dwuetapowa nie zwalnia z dobrych haseł. Jeśli jedno hasło służy do poczty, sklepu internetowego i forum dla hobbystów, wyciek z forum daje włamywaczowi pierwszy krok do poczty. Menedżer haseł rozwiązuje to bez wysiłku: każde konto dostaje inne, losowe hasło, a pamiętasz tylko jedno. Weryfikacja dwuetapowa jest drugą linią obrony, a nie zamiennikiem pierwszej.
Gdy pracownik odchodzi
Weryfikacja dwuetapowa wiąże konto z telefonem konkretnej osoby. Gdy pracownik odchodzi, jego telefon dalej potrafi potwierdzać logowania, jeśli nikt tego nie wyłączy. W ostatnim dniu pracy administrator blokuje konto pocztowe, usuwa urządzenia przypisane do drugiego składnika i przenosi dostęp do wspólnych usług na inną osobę. Przy kontach, które pracownik zakładał sam, na przykład w serwisach dostawców, zmień adres e-mail i hasło na firmowe, zanim zniknie jego skrzynka.
Konta wspólne
Konto, z którego korzysta kilka osób, na przykład konto w hurtowni albo dawny wspólny login do firmowego Facebooka, to kłopot dla weryfikacji dwuetapowej, bo kod przychodzi na jeden telefon. Lepiej, żeby każda osoba miała własny dostęp z własną rolą, co Meta i Google umożliwiają. Gdy wspólne konto jest nieuniknione, menedżery haseł dla zespołów potrafią przechowywać także kody jednorazowe, dostępne dla osób z uprawnieniami.
Ustawiam weryfikację dwuetapową w małych firmach w ramach pomocy IT dla firm: plan kolejności, konfiguracja z każdym pracownikiem, kody zapasowe i wymuszenie w panelu administratora. Napisz przez formularz, z jakiej poczty korzystacie i ile osób pracuje w firmie. Jeśli wizytówka Google jest wciąż na koncie dawnego pracownika, zacznij od wpisu o odzyskaniu dostępu do wizytówki.