En kompromitteret e-mailkonto kan hurtigt blive dyr for en mindre virksomhed. Ikke kun fordi nogen kan læse med, men fordi kontoen ofte giver adgang til fakturaer, kundedata, OneDrive-filer og dialog med leverandører. Derfor er svaret på spørgsmålet skal små virksomheder bruge MFA som regel ja. For de fleste er multifaktorgodkendelse en af de enkleste og mest effektive sikkerhedsforbedringer, de kan gennemføre.
MFA står for multifaktorgodkendelse. Det betyder, at en adgangskode ikke længere er nok alene. Når en medarbejder logger ind, skal vedkommende også bekræfte login med eksempelvis en app på telefonen, en sikkerhedsnøgle eller en kode. Det tager få sekunder i hverdagen, men kan stoppe mange af de angreb, der ellers lykkes med stjålne eller genbrugte adgangskoder.
Hvorfor små virksomheder er et oplagt mål
Mange mindre virksomheder tænker, at de ikke er interessante nok for it-kriminelle. Men angreb bliver ofte sendt ud automatisk og i stort antal. Det handler sjældent om virksomhedens størrelse. Det handler om, hvorvidt en konto kan bruges til at sende falske fakturaer, narre kunder, hente data eller få adgang til andre systemer.
En enkelt Microsoft 365-konto kan være særligt attraktiv. Har en angriber adgang til medarbejderens mail, kan han læse korrespondance, oprette videresendelsesregler og udgive sig for at være ejer, bogholder eller en kendt leverandør. Det gør svindelbeskeder langt mere troværdige.
MFA fjerner ikke alle risici, men den ændrer angrebet markant. En adgangskode, der er lækket fra en gammel tjeneste eller fanget i en falsk login-side, er ikke længere nok i sig selv. Angriberen møder et ekstra led, som han normalt ikke kan gennemføre.
Hvad MFA konkret beskytter imod
Det mest almindelige problem er stadig adgangskoder. De bliver genbrugt, gættet, lækket eller udleveret under pres i en overbevisende phishing-mail. Selv en lang adgangskode kan blive et problem, hvis den bruges flere steder.
Med MFA skal brugeren bekræfte, at det faktisk er ham eller hende, der logger ind. I Microsoft 365 sker det ofte med Microsoft Authenticator på telefonen. Brugeren får en besked og godkender login, eller indtaster et tal, der vises på skærmen. Det er mere sikkert end en simpel sms-kode og nemt at bruge, når opsætningen er på plads.
MFA kan blandt andet begrænse konsekvensen af:
- lækkede eller genbrugte adgangskoder
- falske mails, der forsøger at lokke loginoplysninger ud
- loginforsøg fra ukendte enheder eller lande
- overtagelse af mailkonti og adgang til delte filer
Der er dog en vigtig detalje: Medarbejdere må aldrig godkende en forespørgsel, de ikke selv har startet. Det kan være et tegn på, at nogen allerede har forsøgt at logge ind med deres adgangskode. Her skal man afvise forespørgslen og reagere med det samme.
Skal små virksomheder bruge MFA på alle konti?
I praksis bør MFA være standard på alle konti, der kan åbne døren til virksomhedens data eller økonomi. Start med Microsoft 365, e-mail, regnskab, bank, lønsystem, fjernadgang, CRM og administratoradgange. Det er de konti, hvor en fejl kan få størst konsekvenser.
Det afhænger naturligvis af virksomhedens systemer. En mindre håndværksvirksomhed med tre brugere har ikke samme behov som en produktionsvirksomhed med flere lokationer, CAD-filer, leverandørportaler og fjernadgang. Men princippet er ens: Beskyt de adgange, der har værdi, og gør det på en måde, medarbejderne kan bruge uden daglige frustrationer.
Det giver sjældent mening at lade MFA være valgfrit. Hvis én konto undtages af bekvemmelighed, kan den blive den letteste vej ind. En god løsning tager i stedet hensyn til arbejdsgange, delte enheder og medarbejdere, som ikke sidder ved en computer hele dagen.
Delte konti skal løses rigtigt
Delte loginoplysninger er et klassisk problem i små virksomheder. Måske bruger værkstedet én fælles mail, eller flere medarbejdere har adgang til samme portal. Det virker enkelt, men det gør det svært at se, hvem der har gjort hvad, og det bliver besværligt, når MFA skal bruges.
Den bedste løsning er som regel personlige brugerkonti med de nødvendige rettigheder. En fælles postkasse kan stadig anvendes, men medarbejderne skal åbne den fra deres egne konti. Så kan en fratrådt medarbejder fjernes uden at ændre et fælles kodeord på tværs af virksomheden.
Vælg en løsning, der passer til hverdagen
MFA behøver ikke betyde en besværlig loginproces hele tiden. Enheden kan ofte huskes, så medarbejderen ikke bliver bedt om godkendelse ved hvert login. Der kan også sættes regler for, hvornår der kræves ekstra kontrol, eksempelvis ved login fra en ny computer eller fra udlandet.
For de fleste virksomheder er en godkendelsesapp den bedste start. Den er billig, enkel og kan administreres centralt. Sms-koder er bedre end ingen MFA, men de bør normalt ikke være førstevalg, fordi telefonnumre kan misbruges eller overføres ved svindel.
Sikkerhedsnøgler kan være relevante for ejere, administratorer og medarbejdere med særligt følsomme adgange. De kræver en fysisk nøgle ved login og giver en høj beskyttelse mod falske login-sider. Til gengæld skal virksomheden have styr på opbevaring, reservedele og hvad der sker, hvis en nøgle mistes.
En sund opsætning inkluderer også en plan for mistede telefoner. Der skal være mindst én ansvarlig, som kan hjælpe medarbejderen tilbage i systemet på en kontrolleret måde. Nødadgang bør være begrænset, dokumenteret og opbevaret sikkert – ikke ligge som en kode i en fælles mappe.
MFA er ikke en erstatning for gode vaner
MFA er et stærkt sikkerhedslag, men det kan ikke stå alene. En medarbejder kan stadig blive narret til at godkende et falsk login, og en kompromitteret computer kan stadig udgøre en risiko. Derfor skal MFA følges af nogle helt grundlæggende rutiner.
Brug unikke adgangskoder og gerne en adgangskodeadministrator. Hold computere, telefoner og programmer opdateret. Sørg for, at medarbejdere kender de mest almindelige tegn på phishing: uventede links, hastværk, ændrede bankoplysninger og afsendere, der næsten – men ikke helt – ligner en kendt kontakt.
Det er også værd at gennemgå, hvem der har administratorrettigheder. I en lille virksomhed ender ejeren ofte med at bruge en administratorprofil til alt. Det er praktisk, indtil den konto rammes. En almindelig brugerkonto til det daglige arbejde og en særskilt administratorkonto til ændringer giver bedre kontrol.
En praktisk måde at komme i gang på
Jeg anbefaler normalt ikke, at man bare tænder en indstilling fredag eftermiddag og håber på det bedste mandag morgen. Start med at få overblik over brugere, enheder og systemer. Hvem har adgang til hvad? Er der gamle medarbejdere, tidligere samarbejdspartnere eller ukendte administratorer, som stadig står i systemet?
Derefter kan MFA rulles ud i en overskuelig rækkefølge. Beskyt administratorer og virksomhedsejer først, derefter e-mail og Microsoft 365 for resten af medarbejderne. Test processen med et par brugere, og giv en kort, konkret forklaring på, hvad de skal gøre, hvis de får en godkendelse, de ikke kender.
Til sidst bør opsætningen dokumenteres. Det gælder blandt andet ansvarlige personer, gendannelsesmetoder, licenser og de vigtigste sikkerhedsindstillinger. Det sparer tid, når en telefon bliver skiftet, en medarbejder stopper, eller der opstår en akut situation.
Hos Rønnow Design & IT kan jeg hjælpe med at gennemgå jeres Microsoft 365-opsætning, aktivere MFA og forklare medarbejderne processen i et sprog, der er til at bruge. Målet er ikke mere teknik for teknikkens skyld. Målet er drift, der er sværere at misbruge og stadig enkel at arbejde i.
MFA giver mest værdi, når den er sat rigtigt op, forstået af dem, der bruger den, og fulgt op med almindelig omtanke. En kort gennemgang af jeres vigtigste konti kan være det lille arbejde, der forhindrer den store afbrydelse senere.