Kako uključiti dvofaktorsku prijavu (2FA) u maloj firmi: plan u 5 koraka
Ukradena lozinka ne mora značiti ukradenu firmu. Evo kako u jednom popodnevu uključiti 2FA u Microsoft 365, Google Workspaceu i ostalim servisima koje koristite.
Lozinka je danas jedina brava na vratima mnogih malih firmi. Ako netko dozna lozinku za vašu e-poštu, ima pristup ponudama, računima, kontaktima i resetiranju lozinki za sve ostale servise. Dvofaktorska prijava (2FA) dodaje drugu bravu: osim lozinke, za prijavu treba i nešto što imate kod sebe, najčešće mobitel ili sigurnosni ključ. Uključuje se u jednom popodnevu, a besplatna je u alatima koje većina firmi već koristi.
Što je 2FA i zašto ukradena lozinka tada nije dovoljna
Kod 2FA prijava traži dva dokaza različite vrste: nešto što znate (lozinku) i nešto što imate (mobitel s aplikacijom za potvrdu, sigurnosni ključ) ili nešto što jeste (otisak prsta). Nacionalni CERT u svom dokumentu o višefaktorskoj autentifikaciji to opisuje upravo tako: prijava je višefaktorska kada traži više metoda iz različitih kategorija.
U praksi to znači da napadač koji je lozinku izvukao lažnom porukom ili curenjem podataka s nekog drugog servisa i dalje ostaje pred zaključanim vratima, jer nema vaš mobitel.
Nisu sve metode jednako sigurne: SMS je najslabija karika
Najčešće ćete birati između ovih metoda, od najslabije prema najjačoj:
- SMS ili poziv s kodom – bolje nego ništa, ali CERT upozorava da je ranjiv na takozvane SIM swap napade, kada prevarant preusmjeri vaš broj na svoju SIM karticu. Kod se može izmamiti i lažnom stranicom.
- Aplikacija za potvrdu (npr. Microsoft Authenticator ili Google Authenticator) – generira kod ili šalje obavijest koju odobrite na mobitelu. Za većinu malih firmi to je razuman standard.
- Sigurnosni ključ ili pristupni ključ (passkey) – fizički uređaj ili ključ spremljen u mobitelu. CERT navodi da su pametne kartice i slični uređaji među najsigurnijim rješenjima jer dobra izvedba odolijeva phishingu. Preporučujemo ih barem za administratorske račune.
Pravilo palca: aplikacija za sve zaposlenike, sigurnosni ključ za onoga tko ima administratorska prava.
Microsoft 365: uključite sigurnosne zadane postavke
Ako firma koristi Microsoft 365, najbrži put su sigurnosne zadane postavke (Security defaults). Prema Microsoftovoj dokumentaciji, one ne traže dodatnu licencu, a uključuju niz osnovnih zaštita odjednom:
- svi korisnici moraju registrirati višefaktorsku prijavu,
- administratori je moraju koristiti pri svakoj prijavi,
- blokira se zastarjela prijava (stariji protokoli koji ne podržavaju 2FA, pa ih napadači rado koriste za zaobilaženje).
Uključuju se u Microsoft Entra centru za administratore (entra.microsoft.com): Entra ID → Overview → Properties → Manage security defaults, zatim postavite na Enabled i spremite. Korisnici se registriraju putem aplikacije Microsoft Authenticator. Ako vaš zakup već ima napredna pravila uvjetnog pristupa (Conditional Access), Microsoft navodi da sigurnosne zadane postavke vjerojatno nisu za vas – tada 2FA uređujete kroz ta pravila.
Upozorenje: stari pisači koji skeniraju na e-poštu ili stari programi za poštu mogu prestati raditi nakon blokade zastarjele prijave. Napravite popis takvih uređaja prije nego što pritisnete gumb.
Google Workspace i ostali servisi
U Google Workspaceu administrator u konzoli za administraciju prvo dopušta korisnicima da uključe potvrdu u dva koraka, a zatim je nakon prijelaznog roka učini obveznom. Upute su u Googleovoj pomoći za administratore. Google je najavio i da će potvrdu u dva koraka postupno učiniti obveznom za sve administratorske račune, a administrator koji je ne uključi nakon obavijesti gubi pristup aplikacijama. Bolje je to riješiti sada, pod svojim uvjetima.
Ne zaboravite servise izvan ureda: internetsko bankarstvo, društvene mreže firme, administraciju web stranice i domene, računovodstveni program. Gotovo svi imaju 2FA u postavkama sigurnosti.
Plan uvođenja u 5 koraka
- Popišite račune. E-pošta, cloud, banka, domena i hosting, društvene mreže, web trgovina. Za svaki zapišite tko je administrator.
- Počnite od administratora i e-pošte. Tko kontrolira e-poštu, kontrolira resetiranje svih ostalih lozinki.
- Najavite promjenu zaposlenicima. Kratka poruka: što se mijenja, koji dan, koju aplikaciju instalirati. Odvojite 15 minuta za zajedničku registraciju.
- Spremite rezervne kodove. Svaki servis nudi jednokratne kodove za slučaj gubitka mobitela. Ispišite ih i spremite na sigurno mjesto, ne u istu e-poštu koju štitite.
- Imajte plan za izgubljeni mobitel. Odredite tko može resetirati 2FA zaposleniku i neka to budu barem dvije osobe, kako se firma ne bi zaključala sama.
Česte pogreške koje treba izbjeći
- Jedan zajednički račun za cijeli ured s 2FA na mobitelu samo jedne osobe.
- Odobravanje obavijesti za prijavu koju niste pokrenuli. Ako vam stigne zahtjev, a vi se niste prijavljivali, odbijte ga i odmah promijenite lozinku.
- Uključen 2FA na e-pošti, a isključen na banci ili domeni.
- Bivši zaposlenik koji i dalje ima aplikaciju za potvrdu vezanu uz firmin račun.
Ako ne želite sami prolaziti kroz postavke, ovo je tipičan posao za IT podršku – jedno popodne, a koristi traju godinama.
IT Sektor pomaže malim tvrtkama i obrtima uvesti AI i digitalne alate tamo gdje se stvarno isplati — javite nam se.