Цель модуля
Научить работника пользоваться дополнительным подтверждением входа, выбирать допустимые способы подтверждения, правильно привязывать устройства и безопасно проходить восстановление доступа.
Как работает дополнительный фактор
Подтверждение входа по нескольким факторам означает, что для входа нужно предъявить нечто, что вы знаете (пароль), и нечто, чем вы владеете (устройство или одноразовый код). Злоумышленник, получивший пароль, но не получивший устройство, войти не сможет.
Важно, чтобы факторы относились к разным видам. Два пароля или пароль и секретный вопрос — это по-прежнему одна категория «то, что знаете», и такая защита обходится существенно легче.
Допустимые способы подтверждения
| Способ | Надёжность | Примечание |
|---|---|---|
| Приложение с одноразовыми кодами | Высокая | Основной рекомендованный способ, работает без связи |
| Аппаратный ключ безопасности | Наивысшая | Обязателен для привилегированных учётных записей |
| Код в сообщении на телефон | Средняя | Допустим как резервный; уязвим к подмене номера |
| Секретный вопрос | Низкая | Не является вторым фактором, применять нельзя |
Привязка устройств и резервные коды
- Привязывайте только свои устройства и только те, которыми пользуетесь для работы.
- Не привязывайте служебное устройство, к которому есть доступ у других.
- Сохраняйте резервные коды в защищённом месте: в корпоративном хранилище паролей, но не в переписке и не в заметках телефона.
- При смене телефона сначала привяжите новое устройство, затем отвяжите старое.
- При потере устройства немедленно сообщите в службу информационной безопасности для блокировки фактора.
Безопасное восстановление доступа
- Восстановление выполняется только через официальную процедуру с подтверждением личности.
- Личность подтверждает руководитель или служба поддержки по установленному порядку, а не по переписке.
- Ни сотрудник поддержки, ни служба безопасности не вправе спрашивать одноразовый код — его не сообщают никому.
- После восстановления проверьте список привязанных устройств и активные сеансы, удалите незнакомые.
- О подозрительном запросе на восстановление чужого доступа сообщите немедленно: это признак готовящейся атаки.
Типовые ошибки
- Резервные коды сфотографированы или пересланы себе в мессенджер.
- Одноразовый код сообщён по телефону тому, кто представился сотрудником поддержки.
- На одном устройстве привязаны учётные записи нескольких работников.
- Дополнительный фактор отключён «для удобства» на время отпуска.
- Секретный вопрос выбран как единственный второй фактор.
- Запрос на восстановление чужого доступа не вызвал вопросов у службы поддержки.
Проверочный список перед выходом на работу
- Дополнительный фактор включён на всех рабочих учётных записях.
- Для привилегированных учётных записей используется аппаратный ключ.
- Резервные коды хранятся в защищённом месте, а не в переписке.
- Привязаны только личные устройства, которыми вы пользуетесь для работы.
- Одноразовые коды не сообщаются никому и ни при каких обстоятельствах.
- Список активных сеансов проверяется после восстановления доступа.
Вопросы для самопроверки
- Почему секретный вопрос не считается вторым фактором? Он относится к той же категории «то, что вы знаете», что и пароль, и потому не добавляет подтверждения владения устройством.
- Сотрудник поддержки просит одноразовый код для проверки. Ваши действия? Не сообщать код никому: сотрудники поддержки не запрашивают одноразовые коды; о попытке сообщить в службу безопасности.
- Что сделать при потере рабочего телефона? Немедленно сообщить в службу информационной безопасности для блокировки фактора и привязать новое устройство.
Основание и что делать при сомнении
Модуль опирается на: Приказ ФСТЭК России от 11.02.2013 № 17, приказ ФСБ России от 10.07.2014 № 378.
Если ситуация не описана в модуле и вы не уверены в правильном действии, не принимайте решение самостоятельно: обратитесь к руководителю и в службу информационной безопасности до того, как выполнить операцию с данными или доступами.