ก่อนเปิด MFA ทั้งองค์กร เตรียมแผนกู้บัญชีอย่างไร
เปิด MFA แล้ว ต้องเตรียมวันเข้าใช้งานไม่ได้ด้วย
การยืนยันตัวตนหลายปัจจัยหรือ MFA ช่วยเพิ่มการป้องกันบัญชี แต่โทรศัพท์ที่หาย เครื่องที่เสีย หรือผู้ดูแลที่ติดต่อไม่ได้ อาจทำให้งานสะดุดได้ บทความนี้ชวนวางแผนกู้บัญชี MFA ก่อนเปิดใช้งานทั้งองค์กร โดยแยกเรื่องวิธีสำรอง ผู้รับผิดชอบ และการซ้อมขั้นตอนออกจากการเลือกระบบ เป้าหมายคือให้ทีมรู้ว่าจะทำอะไรเมื่อเข้าใช้งานไม่ได้ โดยยังตรวจสอบตัวตนของผู้ขอความช่วยเหลือ
ทำแผนหนึ่งแถวต่อระบบ ไม่เก็บรหัสไว้ในแผน
เริ่มจากตารางรายชื่อระบบ เช่น อีเมล พื้นที่เก็บไฟล์ และระบบบัญชี แต่ละแถวระบุเจ้าของระบบ ผู้ประสานงานสำรอง ช่องทางช่วยเหลือของผู้ให้บริการ และผลกระทบถ้าเข้าไม่ได้ แยกช่องวิธีเข้าสู่ระบบตามปกติออกจากช่องวิธีกู้บัญชี บันทึกเพียงว่าข้อมูลกู้คืนอยู่ที่ใดและใครมีสิทธิ์ใช้ ไม่ใส่รหัสผ่าน รหัสกู้คืน หรือภาพหน้าจอความลับไว้ในตารางที่ทีมเปิดดูร่วมกัน
ตรวจวิธีสำรองที่ระบบและนโยบายอนุญาต
อย่าสมมติว่าทุกบริการรองรับวิธีเดียวกัน ตัวอย่างเอกสาร Microsoft สำหรับบัญชีที่ทำงานระบุว่าอาจใช้วิธียืนยันอื่นที่ตั้งไว้ หรือขอให้ผู้ดูแลช่วยเมื่อใช้วิธีเดิมไม่ได้ จึงควรตรวจตัวเลือกจริงกับผู้ดูแลก่อน สำหรับการเลือกวิธีเข้าสู่ระบบหลัก CISA สนับสนุน MFA ที่ต้านทานฟิชชิง แต่การมี MFA ไม่ได้แปลว่าขั้นตอนกู้คืนจะปลอดภัยเอง ต้องประเมินทั้งสองส่วนแยกกัน
เก็บข้อมูลกู้คืนให้ใช้ได้เมื่ออุปกรณ์หลักหาย
NIST อธิบายว่ารหัสกู้คืนแบบเก็บไว้ล่วงหน้าควรเก็บออฟไลน์อย่างปลอดภัย แนวทางปฏิบัติที่องค์กรอาจพิจารณาคือไม่ฝากสำเนาเพียงชุดเดียวไว้ในโทรศัพท์เครื่องที่ใช้ยืนยันตัวตน และกำหนดผู้มีสิทธิ์เข้าถึงอย่างชัดเจน รายละเอียดต้องเป็นไปตามระบบและนโยบายขององค์กร ไม่ส่งรหัสเหล่านี้ในแชตกลุ่มหรือส่งให้ผู้ที่โทรมาอ้างว่าเป็นฝ่ายช่วยเหลือ
กำหนดว่าใครรับเรื่อง ใครตรวจ และใครอนุมัติ
ใช้สถานการณ์สมมติว่าพนักงานเปลี่ยนโทรศัพท์ก่อนวันส่งรายงาน แล้วเขียนขั้นตอนตั้งแต่แจ้งเหตุจนกลับมาทำงาน ระบุผู้รับเรื่อง วิธีตรวจว่าเป็นเจ้าของบัญชีจริง ผู้มีสิทธิ์ดำเนินการ และสิ่งที่ต้องบันทึก หากผู้รับผิดชอบหลักไม่อยู่ ให้มีทางติดต่อคนสำรองที่กำหนดไว้ล่วงหน้า ความเร่งด่วนไม่ควรเป็นเหตุให้ข้ามการตรวจตัวตนหรือเปิดสิทธิ์กว้างกว่าที่จำเป็น
ซ้อมกับบัญชีทดสอบก่อนขยายทั้งองค์กร
เลือกบัญชีทดสอบและช่วงเวลาที่เหมาะสม ทดลองตามคู่มือของผู้ให้บริการโดยไม่ปิดทางเข้าถึงระบบงานจริง บันทึกว่าติดตรงไหน ติดต่อผู้ช่วยได้หรือไม่ และกลับมาใช้วิธีปกติได้ครบหรือยัง จากนั้นแก้แผนให้ตรงกับสิ่งที่พบและทบทวนเมื่อเปลี่ยนอุปกรณ์หรือผู้รับผิดชอบ หากต้องการวางกระบวนการร่วมกับระบบความปลอดภัยด้านไอที สามารถปรึกษา Chawinnix โดยเตรียมรายชื่อระบบและปัญหาการเข้าใช้งานไว้ก่อน ไม่ต้องส่งรหัสลับเพื่อขอคำปรึกษา
