באילו חשבונות מתחילים?
מתחילים בחשבונות שמאפשרים לאפס אחרים או לשלוט בתשתית: דואר ניהולי, רשם דומיין, אחסון ומערכת האתר. לאחר מכן מטפלים בעובדים ובחשבונות שירות בהתאם לסיכון. MFA אינו מבטל צורך בהרשאות מצומצמות או בבדיקת כניסות פעילות. עזיבת עובד מחייבת גם בירור מפתחות, הפעלות וחיבורים שנותרו מאחור.
מפת גישה שאינה מכילה סודות
רושמים חשבון או מערכת, בעלים, תפקיד, שיטת אימות, דרך שחזור ותלות בחשבון אחר. אין להכניס סיסמאות או קודי שחזור לטופס ציבורי או לדוח פתוח. מסכמים מי מחזיק באמצעי השחזור ואיך בודקים זמינות בלי לחשוף אותם.
| שיטה | מה מבררים | מגבלה |
|---|---|---|
| קוד חד פעמי | תמיכת המערכת ומכשיר זמין | אפשר להזינו באתר מתחזה |
| אישור באפליקציה | תנאי האישור והדרכת המשתמש | אישור לא צפוי דורש בירור |
| Passkey או מפתח אבטחה | תמיכה, רישום ודרך שחזור | זמינות תלויה במערכת ובתצורה |
מטמיעים בהדרגה ובודקים גם שחזור
מתחילים בבעלים ובמנהל, ממשיכים בקבוצת בדיקה ואחריה בעובדים ובספקים. חשבונות שירות נבחנים לפי המנגנון הנתמך בהם. מסירה כוללת רישום המשתמשים שסוכמו, בדיקות כניסה ושחזור מתאימות, חריגים וביטול גישות זמניות באישור.
MFA הוא חלק מניהול גישה
גם אחרי הפעלת אימות נוסף בודקים הרשאות, חשבונות שירות והפעלות פעילות לפי יכולות המערכת. אין להניח שהפעלת MFA מבטלת כל חיבור קיים או מחזירה בעלות על חשבון שכבר נפרץ. במקרה חשוד נדרש בירור נפרד של האירוע.