Zajištění 2FA od AdminIT s.r.o. aneb Jak chráníme firemní účty a přístupy

Proč firmy řeší zajištění 2FA?

Ještě před několika lety stačilo uživatelské jméno a heslo. Dnes už to jednoduše nestačí.

V praxi se setkávám s několika nejčastějšími scénáři:

• zaměstnanec používá stejné heslo na více službách,
• heslo unikne z kompromitovaného e-shopu,
• útočník heslo uhodne hrubou silou,
• počítač je napaden malwarem,
• zaměstnanec naletí podvodnému e-mailu.

Samotné heslo dnes představuje pouze první bezpečnostní vrstvu. Právě 2FA přidává další ověření, které výrazně snižuje riziko úspěšného útoku.

S bezpečností pracujeme i v prostředích, kde je dostupnost kritická

Za roky působení AdminIT s.r.o. jsem si ověřil, že požadavky na zabezpečení se velmi liší podle typu organizace. Jiné potřeby má výrobní firma, jiné veřejná instituce a jiné mediální dům nebo provozovatel kritických informačních systémů.

Naše zkušenosti se správou a zabezpečením IT prostředí jsme získali při spolupráci s organizacemi, jako jsou Česká tisková kancelář (ČTK), Plzeňský kraj, skupina ARETE nebo společnost Winstor, kde se podílíme na bezpečnostních projektech, implementaci požadavků NIS2 a DORA, penetračních testech nebo zajištění nepřetržitého monitoringu infrastruktury.

Dlouhodobě se věnujeme také správě serverových a síťových prostředí významných internetových projektů společnosti Internet Info, provozující servery jako Root.cz, Lupa.cz, Podnikatel.cz nebo Vitalia.cz.

Právě zkušenosti z těchto prostředí nám ukazují, že bezpečnost není otázkou velikosti firmy. Stejné principy, které chrání velké organizace, dokážeme přizpůsobit i menším a středním firmám. Zajištění 2FA, ochrana přístupů, monitoring infrastruktury nebo bezpečnostní audity proto dnes považujeme za standardní součást moderní správy IT.

Jak ve firmách nasazujeme 2FA

Velmi často se setkávám s představou, že nasazení dvoufaktorového ověřování znamená komplikovaný projekt. Ve skutečnosti postupujeme snadno a systematicky, po krocích.

Nejprve analyzujeme:

• jaké systémy firma používá,
• kdo má administrátorské účty,
• odkud se zaměstnanci připojují,
• jak funguje vzdálený přístup,
• jaká data jsou pro firmu kritická.

Na základě toho připravíme návrh zavedení. Nejčastěji začínáme tam, kde to zaměstnance nejméně zatěžuje.

VPN bývá ideálním začátkem

Ve firmách často začínáme u vzdálených přístupů. Uživatelé už stejně zadávají jméno a heslo. Druhý faktor představuje pouze jedno potvrzení navíc.

Výhodou je, že si zaměstnanci aplikaci osvojí a následné rozšíření na další systémy bývá výrazně jednodušší.

Které systémy chráníme nejčastěji

Z mé zkušenosti by mělo být dvoufaktorové ověřování zavedeno především u:

• VPN přístupů,
• administrátorských účtů,
• firemních e-mailů,
• Microsoft 365,
• OneDrive a SharePointu,
• serverových systémů,
• účetních a ERP systémů,
• vzdálené správy.

Útočníci totiž často nezačínají nejdůležitějším systémem. Nejprve získají méně významný účet a následně se přesouvají dále.

Zaměstnanci mají často obavy

To je naprosto normální.

Nejčastěji slýchám:

• bude mě to zdržovat,
• zapomenu telefon,
• nebude to fungovat,
• nebudu se moci přihlásit.

První dny bývá patrný určitý odpor. Jakmile si ale lidé zvyknou na push notifikace nebo jednoduché potvrzení přihlášení, většina zaměstnanců přestane 2FA vnímat jako problém.

Důležité je vysvětlit důvod.

Když zaměstnanci pochopí, že jeden úspěšný útok může znamenat týdny problémů, přijímají změnu mnohem lépe.

Co se stane, když 2FA chybí?

Viděl jsem firmy, kde bylo jedno uhodnuté heslo začátkem velmi drahého problému.

Útočník získal přístup k e-mailu, následně k dalším systémům a během několika hodin měl k dispozici informace, které nikdy neměl vidět.

Naopak v řadě případů právě druhý faktor útok zastavil.

Další výhodou je, že neúspěšné pokusy o přihlášení poskytují velmi cenné informace. Bezpečnostní systémy dokážou odhalit, že se někdo snaží získat přístup, ještě dříve, než dojde k větším škodám.

Právě zde má význam proaktivní monitoring sítí 24/7, který pomáhá odhalovat podezřelé události v reálném čase. Tuto službu poskytujeme našim klientům zdarma.

Zajištění 2FA není jen technologie

Mnoho firem hledá jednu kouzelnou bezpečnostní krabičku, která vše vyřeší.

Ve skutečnosti bezpečnost tvoří:

• firewall,
• aktualizace,
• monitoring,
• zálohování,
• školení zaměstnanců,
• správně nastavená oprávnění,
• vícefaktorové ověřování.

Proto se snažíme navrhovat řešení jako celek. Cílem není pouze zavést 2FA. Mým cílem je zajistit IT bez výpadku a minimalizovat riziko provozních problémů.

Reference z praxe

Za dobu působení AdminIT s.r.o. jsme pomáhali s ochranou IT infrastruktury:

• menším a středním firmám,
• výrobním podnikům,
• školním institucím,
• městským úřadům,
• exekutorským úřadům,
• zdravotnickým organizacím,
• krajským institucím.

Právě různorodost těchto prostředí nám ukazuje, že neexistuje jedno univerzální řešení. Každá organizace má jiné požadavky, jiná rizika a jinou úroveň zabezpečení.

2FA a požadavky NIS2

V posledních měsících se velmi často setkávám s dotazy na NIS2. U administrátorských účtů a kritických systémů se dnes vícefaktorové ověřování stává prakticky standardem.

Nejde však pouze o legislativu. Jde především o reálnou ochranu firmy.

Proto dnes stále více organizací řeší 2FA pro firmy ještě před tím, než je k tomu přinutí předpisy nebo bezpečnostní incident.

Externí správce bezpečnosti

Řada firem dnes nemá vlastní bezpečnostní specialisty. Proto pro zákazníky zajišťujeme nejen implementaci 2FA, ale také dlouhodobou správu, monitoring a bezpečnostní dohled.

Naši zákazníci oceňují zejména to, že fungujeme jako IT firma s nonstop podporou, která dokáže reagovat i mimo běžnou pracovní dobu.

Velká část zákazníků využívá také externí správu IT v Praze, Plzni a dalších regionech České republiky.

Kolik může stát jeden kompromitovaný účet?

Některé firmy řeší náklady na zavedení 2FA.

Mnohem důležitější otázka ale zní: Kolik stojí úspěšný útok?

Nejde pouze o obnovu systémů.

Jde o:

• výpadek provozu,
• ztrátu produktivity,
• poškození reputace,
• práci přesčas,
• ztrátu zákazníků.

Právě proto vám doporučuji přečíst si také článek Kolik stojí výpadek serveru, který ukazuje skutečné důsledky IT incidentů.

Závěr

Pokud bych měl zajištění 2FA shrnout jednou větou, zněla by: Heslo už dnes nestačí.

Dvoufaktorové ověřování není módní trend ani zbytečná komplikace. Je to jedno z nejefektivnějších bezpečnostních opatření, které může firma zavést.

V AdminIT s.r.o. pomáháme organizacím navrhnout, zavést a dlouhodobě spravovat řešení, která odpovídají jejich skutečným potřebám.

Pokud potřebujete zajistit zavedení 2FA do vaší firmy, kontaktujte nás!

Ing. Dan Ohnesorg
Jednatel společnosti AdminIT s.r.o.

FAQ – Nejčastější otázky

Co znamená zajištění 2FA?
Jde o návrh, implementaci a správu dvoufaktorového ověřování, které chrání firemní účty před zneužitím.

Které systémy by měly mít 2FA?
Především VPN, firemní e-mail, Microsoft 365, administrátorské účty a systémy obsahující důležitá data.

Jak dlouho trvá zavedení 2FA?
Záleží na velikosti firmy a počtu systémů. Menší implementace mohou být hotové během několika dnů.

Je 2FA složité pro zaměstnance?
Po krátkém zaškolení si většina uživatelů velmi rychle zvykne.

Pomůže 2FA proti odcizeným heslům?
Ano. Druhý faktor výrazně omezuje možnost zneužití odcizených nebo uhodnutých hesel.

Pomůže nám AdminIT se zavedením 2FA?
Ano. Zajišťujeme návrh řešení, implementaci, školení uživatelů i dlouhodobou správu a bezpečnostní dohled.