企业全面启用 MFA 前，如何规划账户恢复
启用 MFA，也要为无法登录的情况做准备
多重身份验证（MFA）能够加强账户保护，但手机丢失、设备故障或管理员暂时无法联系，都可能影响工作。本文帮助企业在全面启用 MFA 前规划账户恢复，将备用方式、责任分工和流程演练与产品选择分别考虑。目标是让员工在无法登录时知道该怎么做，同时仍然核实求助者的身份。
每个系统一行，不在计划表中保存秘密信息
先列出电子邮件、文件存储、会计等系统。每一行记录系统负责人、备用联系人、服务商的支持渠道，以及无法访问时的影响。将日常登录方式与账户恢复方式分开记录。表内只说明恢复信息保存在哪里、谁有权使用，不要把密码、恢复代码或包含秘密信息的截图放进团队共享的计划表。
确认系统和组织政策允许哪些备用方式
不要假设所有服务都提供相同选项。例如，Microsoft 的工作账户说明提到，常用验证方式不可用时，可以使用已设置的其他验证方式，或向管理员寻求协助。因此，应先与管理员确认实际选项。在选择主要登录方式时，CISA 支持采用抗网络钓鱼的 MFA。但启用 MFA 并不意味着恢复流程自然安全，这两部分需要分别评估。
主设备丢失后，仍要能取得恢复信息
NIST 说明，预先保存的恢复代码应安全地离线保管。企业可考虑的一项实践是，不把唯一副本留在用于身份验证的那部手机中，并明确谁有权访问。具体做法必须符合系统要求和组织政策。不要在群聊中发送这些代码，也不要交给来电自称技术支持的人员。
明确谁受理、谁核实、谁批准
以员工在报告截止前更换手机为假设情境，写出从报障到恢复工作的步骤。明确受理人、核实账户归属的方法、有权操作的人员，以及需要记录的事项。主要负责人不在时，应有联系预先指定的备用人员的途径。情况紧急不应成为跳过身份核验或授予过大权限的理由。
先用测试账户演练，再扩大实施范围
选择测试账户和合适的时间，按照服务商的说明操作，同时保留对实际业务系统的访问。记录流程卡在哪里、能否联系到支持人员，以及是否已完整恢复正常登录。根据发现的问题修改计划，并在设备或负责人变更时复核。如果需要结合 IT 安全系统规划相关流程，可向 Chawinnix 咨询，提前准备系统清单和登录问题说明即可，咨询时无需发送秘密信息。
