Двухфакторная аутентификация в компании

В любой современной компании, работающей с разного рода данными, всегда есть риски, что кто-то может воспользоваться чужим служебным аккаунтом в злоумышленных целях — например, для доступа к конфиденциальной информации. Чтобы минимизировать такую вероятность, стоит подключить двухфакторную аутентификацию (2FA). Особенно это актуально для крупных компаний, государственных учреждений, банков, операторов сотовой связи и других организаций с высокими требованиями к информационной безопасности. Двухфакторная, или двухэтапная аутентификация — не панацея от взлома, но она позволяет усилить защиту данных. Такой метод часто применяют для обеспечения безопасности аккаунтов привилегированных пользователей — сотрудников с широкими или почти неограниченными полномочиями для работы в корпоративных системах и сервисах. Разберемся, как реализовать его на практике, как он помогает бороться с проблемой целенаправленных атак на конфиденциальную информацию компаний.

Что такое двухфакторная аутентификация в компании

Это метод подтверждения личности пользователя, требующий от него предоставить два фактора для проверки. Объясняем, что это значит, на примере. Чтобы войти в аккаунт, пользователю необходимо ввести логин и пароль. Указывая логин, человек идентифицируется в системе, вводя пароль — проходит аутентификацию, то есть подтверждает права на использование учетной записи. Если аутентификация ограничивается только вводом пароля, она считается традиционной, или однофакторной. При двухфакторной проверке пользователю придется предъявить еще одно доказательство своей личности, например код из SMS-сообщения. Такой способ значительно снижает вероятность взлома аккаунта.

Двухфакторная аутентификация в компании «спасает» корпоративные аккаунты, защищенные слабыми или общими паролями, которые злоумышленники могут легко угадать/подобрать. Такой метод частично нивелирует недостатки слабой парольной политики, поскольку атакующие вряд ли смогут предъявить системе и второй фактор проверки.

Какие доказательства принадлежности пользователю аккаунта можно использовать в рамках двухэтапной аутентификации:

• Конфиденциальная информация, которую пользователь точно знает. Например, это кодовое слово, одноразовый пароль из SMS или электронной почты, пин-код.
• Виртуальный или физический объект, которым пользователь обладает. Например, токен или магнитная карта.
• Биометрические характеристики, уникальные для каждого пользователя. К примеру, отпечаток пальца, изображение лица, рисунок вен ладони и др.

Конкретные факторы зависят от используемых компанией систем и требований к безопасности. Самой надежной считается проверка с применением биометрии, но пока не у всех организаций есть техническая возможность ее внедрить. Чаще всего используется аутентификация с помощью одноразовых кодов и цифровых ключей.

 

Необходимость двухфакторной аутентификации для безопасности бизнеса

Организации, которые относятся к субъектам критической инфраструктуры, обязаны использовать двухфакторную или многофакторную аутентификацию как дополнительный способ защиты аккаунтов в корпоративных системах. Другие компании также часто прибегают к этой мере, желая снизить риски утечек данных, несанкционированного доступа к ресурсам, финансовых потерь.

Некоторые компании защищают с помощью двухфакторной аутентификации только аккаунты привилегированных пользователей. Это одна из эффективных практик управления доступом наряду с мониторингом и контролем действий сотрудников. Однако важно не только ее внедрить, но и обеспечить грамотную реализацию — подобрать оптимальные факторы проверки.

Как работает двухфакторная аутентификация для защиты аккаунтов сотрудников

Алгоритм подтверждения принадлежности к аккаунту выглядит так:

• Пользователь вводит первый фактор проверки — пароль. Чаще всего он постоянный, но может быть и одноразовым.
• Если введен верный пароль, система или приложение запросит второй фактор, указанный в настройках. Например, SMS-код, токен или биометрическую характеристику.
• Если пользователь проходит второй этап проверки, аутентификация считается успешной.

Иногда бывают ситуации, когда сотрудник не может пройти двухфакторную аутентификацию при входе в аккаунт по не зависящим от него причинам. Например, сломался сканер биометрии или нет доступа к телефону, куда должен прийти одноразовый код. В таких случаях система может предложить альтернативный вариант проверки, если такой сценарий заранее настроен. Иногда приходится обращаться в техподдержку и другими способами доказывать права на использование аккаунта.

 

Преимущества внедрения двухфакторной аутентификации для защиты аккаунтов сотрудников в компании

Что дает двухфакторная проверка при входе в корпоративные аккаунты:

• Повышение безопасности конфиденциальной информации.
• Снижение рисков несанкционированного доступа к данным.
• Соответствие законодательству, стандартам отрасли и требованиям регуляторов.
• Снижение рисков финансовых потерь и репутационного ущерба.

Внедрение двухфакторной аутентификация для защиты аккаунтов сотрудников в компаниях также позволяет в долгосрочной перспективе экономить корпоративный бюджет. Дело в том, что в случае взлома придется потратить немало ресурсов на устранение негативных последствий. Гораздо проще и дешевле предотвратить инцидент ИБ.

Роль Solar SafeInspect во внедрении двухфакторной аутентификации в компании

PAM (Privilege Access Management) Solar SafeInspect — система контроля доступа привилегированных пользователей, которая решает следующие задачи:

• Проверка наличия расширенных полномочий у пользователей, которые пытаются получить доступ к информационным системам, подключенным к PAM-решению.
• Изолирование рабочих сессий привилегированных пользователей.
• Мониторинг действий сотрудников с расширенными правами доступа.
• Фиксация сеансов работы привилегированных пользователей, хранение записей для дальнейшего анализа и расследования инцидентов ИБ.
• Ручной или автоматический обрыв рабочей сессии в случае нарушений со стороны пользователей.
• Организация гранулированного доступа к корпоративным программно-аппаратным решениям на базе политик безопасности.
• Управление паролями: ротация по расписанию, хранение, подстановка и сокрытие.

Для обеспечения безопасности бизнеса Solar SafeInspect предоставляет доступ к информационным системам только после сопоставления полномочий и надежной двухфакторной аутентификации. Если сотрудник имеет право пользоваться привилегированным аккаунтом, PAM-система запускает защищенную сессию, в рамках которой в реальном времени контролируются и записываются все действия. В случае любых нарушений политик безопасности, например превышения полномочий или попыток выполнить команды из черного списка, Solar SafeInspect оповещает сотрудников ИБ-службы или немедленно прерывает сессию, если такой сценарий заявлен в настройках.

Также система Solar SafeInspect играет важную роль в обеспечении первого фактора аутентификации — надежного пароля. Она генерирует сложные пароли в соответствии с требованиями парольной политики, гарантирует их своевременную ротацию и безопасное хранение.