Tik slaptažodžių nebeužtenka – apsaugokite įmonės duomenis su „Office 365 MFA“
Iki šiol labiausiai paplitusi kompiuterinių resursų apsaugos priemonė – slaptažodis, sukurtas jau daugiau nei prieš 60 metų. Tačiau, per tiek metų atrasta daug būdų, kaip šį IT saugumo aspektą lengvai apeiti. Atsižvelgiant į šiandieninius technologijų plitimo greičius, per nuotolį naudojamas sistemas bei darbo vietas, vartotojų saugus prisijungimas prie kompiuterizuotų darbo vietų ir programų tampa vienu svarbiausių prioritetu įmonės IT infrastruktūroje.
Rinkos tyrimai atskleidžia, jog per pastaruosius metus pasaulyje saugumo pažeidimų skaičius išaugo 450 procentų. O daugiau nei 80 proc. pažeidimų įvyksta būtent dėl prastai apsaugotų slaptažodžių. Tik jų vartojimas tampa nebepakankama priemone įmonės duomenų saugumui ir veiklos integralumui užtikrinti.
Debesijos paslaugų naudotojai nepasirūpina didesniu saugumu
Pandemijos laikotarpiu daugelis bendrovių privalėjo greitai persiorientuoti prie nuotolinio darbo bei užtikrinti tinkamą IT infrastruktūrą darbui iš namų. Todėl per paskutinius metus pastebimai išaugo „Office 365“ debesijos paslaugų poreikis. Tuo pačiu darbo vietos tapo dar labiau atviros įvairioms kibernetinėms atakoms.
„Klientai dažnai klaidingai mano, kad įsigijus debesijos paslaugas jų saugumu privalo rūpintis paslaugų teikėjas, o jiems užtenka tik jomis naudotis. Tas pat pažymėtina ir apie prisijungimų prie šių paslaugų saugumo užtikrinimą. Tik maža klientų dalis pasinaudoja teikiamomis „Office 365“ debesijos paslaugų apsaugos priemonėmis. Pagal „Microsoft“ 2021 m. spalio mėnesio duomenis, tik 20 proc. jų paslaugų vartotojų ir 30 proc. administratorių taiko nemokamai suteikiamą kelių lygių autentifikavimo įrankį, kurio patikimumas apsaugant sistemas nuo neteisėto prisijungimo yra net 99 proc.“, – pažymi Rimas Kareiva, „Atea“ „Microsoft“ paslaugų vadovas.
Dabar daug dėmesio skiriama vartotojų edukacijai dėl tinkamų slaptažodžių susikūrimo, tačiau statistika patvirtina, jog vartotojų įpročiai nesikeičia. 2021 m. vienas dažniausiai vartojamų slaptažodžių pasaulyje iki šiol yra „123456“.
Kas yra kelių lygių autentifikacija?
Kelių lygių autentifikacija – tai prisijungimo prie sistemų būdas, kuomet kartu su vartotojo vardu ir slaptažodžiu darbuotojas turi naudoti papildomą savęs identifikavimo priemonę, kurios negali žinoti ar turėti joks kitas trečias asmuo (pvz.: mobili aplikacija išmaniajame telefone susieta su vartotojo paskyra, skambutis arba trumpoji žinutė (SMS) į vartotojui priskirtą telefono numerį). Naudotis tokia technologija nėra sudėtinga ir dažnas iš mūsų naudojamės jomis el. bankininkystės, el. parašo naudojimo sferose kiekvieną dieną. Kelių lygių autentifikacijos būdasužtikrina saugią prieigą prie „Office 365“ debesijos paslaugų (pvz. „Exchange Online“, „Teams“, „SharePoint“ ir kt.) bei jose saugomos informacijos.
„Kitaip tariant, ši sistema užtikrina, jog prie įmonės duomenų jungiasi būtent tas darbuotojas, kuriam ir buvo priskirta paskyra. Toks pat principas taikomas ir su „ „Smart ID“ jungiantis prie asmeninės banko sąskaitos. Kalbėdami apie e. bankininkystę, įvertiname, kad joje saugoma itin jautri ir konfidenciali informacija, tad vertindami įmonės kontekstą, irgi turėtume vadovautis tokiu pačiu požūriu – tai yra mūsų „bankas“ su pačia jautriausia bendrovės informacija“, – sprendimo principus detalizuoja Rimas Kareiva.
Įmonė saugi, ar tik nežino, jog tapo įsilaužėlių taikiniu?
Neturint kelių lygių autentifikavimo sprendimo, dažnai net neįmanoma nustatyti, ar su darbuotojo paskyra (t.y. vartotojo vardu ir slaptažodžiu) iš tiesų prisijungė pats darbuotojas, o ne kažkas kitas, žinantis jo duomenis.Tokios kibernetinės atakos, kai sukompromituojamos darbuotojų paskyros, dažnai net nebūna identifikuojamos arba identifikuojamos tik po itin ilgo laiko.
Dar vienas svarbus niuansas – įmonių nenoras kažką keisti turimoje IT infrastruktūroje. Mažos ar vidutinio dydžio įmonės vengia įsidiegti papildomas saugumo priemones, nes nuogąstauja, kad tai neigiamai paveiks darbuotojų pasitenkinimą darbo aplinka. Tuo pačiu dažnai argumentuoja prielaida, kad dėl savo dydžio ar veiklos masto niekam nėra įdomios ar neturi itin jautrios informacijos.
„Daugiau nei 50 proc. žmonių dažniausiai naudoja tą patį slaptažodį darbe ir asmeninėse priemonėse taip didindami kibernetinių įsilaužimų riziką. O būtent darbuotojų paskyros tampa pagrindiniu šaltiniu, per kur įsilaužiama ir pradedama veikti organizacijoje. Pavyzdžiui, esame turėję atvejų klientų tarpe kai administratoriaus paskyra buvo vadovo vardu, o jo slaptažodis buvo nulaužtas. Pusę metų vadovo komunikacija el. paštu papildomai keliavo į jo nekontroliuojamą pašto dėžutę, t.y. įsilaužėliai turėjo susirašinėjimų su klientais, partneriais, darbuotojais kopijas. Kitu panašiu atveju, įmonės „Office 365“ paskyra buvo naudojama brukalų (angl. spam) siuntimui. Galiausiai paskyra buvo užblokuota ir įmonė neturėjo galimybės naudotis el. paštu net kelias dienas. Tik tuomet bendrovė suprato, jog į jų sistemą buvo įsilaužta ir susidūrė su papildomais nepatogumais stengiantis atstatyti bendravimą el. paštu su savo klientais, tiekėjais“, – praktiniais pavyzdžiais dalijasi R. Kareiva
Įdiegus kelių lygių autentifikavimo sprendimą „Office 365“ debesijos paslaugoms, ne tik minimizuojamos slaptažodžių saugumo spragų išnaudojimo rizikos, bet tuo pačiu suteikiamos kontrolės priemonės stebėti prisijungimų istoriją: kas, kada ir iš kokio IP adreso jungėsi. Taip galima užtikrinti nuolatinę sistemos saugumo stebėseną bei atlikti tolesnę analizę. Toks sprendimas veikia tarsi kibernetinis sargas, kurio buvimą būtų galima sugretinti su gyvenimiška situacija, kai iš biuro išeina visi darbuotojai, durys paliktos praviros, bet niekas iš išorės vis tiek negali įeiti vidun.
Nauji saugumo standartai įmonėje vos per porą savaičių
„Atea“ atstovai pastebi, kad kartais įmonės nesiryžta pokyčiams ir bijodamos darbuotojų atmetimo reakcijos, nes kolegos galimai neturės reikiamų kompetencijų, tai bus papildomas vargas, pareikalaus išlaidų ir laiko. Vis dėlto, jau turint „Office 365“ debesijos licencijas, kelių lygių autentifikavimo sprendimą „Office 365 MFA“ galima įgyvendinti su nedidelėmis investicijos ir per itin trumpą laiką.
Maždaug per dvi savaites klientas jau gali turėti sutvarkytą sistemą su naujais vartotojų identifikavimo žingsniais. Tokio termino pakanka išsiaiškinti kliento poreikiams, skirti laiko darbuotojų apmokymams bei parengti „Office 365“ debesijos paslaugas naujam autentifikacijos procesui. Per itin trumpą terminą darbuotojas iš vidutiniškai saugaus tampa žymiai saugesniu IT sistemųvartotoju. Turint kelių lygių autentifikavimo sprendimą įsilaužimų rizika sumenksta iki minimalios, nes net jeigu kažkas iš pašalinių asmenų ir sužino bet kurio darbuotojo vartotojo vardą ir slaptažodį, jie į sistemą vis tiek nepaklius.
Daugiau apie kelių lygių autentifikavimo sprendimą (MFA 365) galima sužinoti čia: https://www.atea.lt/paslaugos/mfa365/