Jak zavést 2FA ve firmě a překonat tichý odpor zaměstnanců

Změny v IT zavádíme v prostředích, kde pracují desítky i stovky uživatelů

Za roky praxe jsem si ověřil, že největší překážkou při zavádění 2FA nebývá technologie, ale lidský faktor. Zaměstnanci se obávají, že je nové přihlašování zpomalí, zkomplikuje jim práci nebo způsobí problémy při přístupu do firemních systémů.

Právě proto při zavádění bezpečnostních opatření klademe velký důraz na postupné nasazení a komunikaci se zaměstnanci. Tyto zkušenosti jsme získali při dlouhodobé správě IT prostředí firem a institucí, jako jsou skupina ARETE, společnost Winstor, Česká tisková kancelář (ČTK), Internet Info nebo řada školních a veřejných organizací.

Spravujeme prostředí, kde uživatelé každý den pracují s e-mailem, vzdáleným přístupem, cloudovými službami nebo podnikovými aplikacemi. Právě zde se ukazuje, že úspěšné zavedení 2FA není pouze o technologii, ale také o správném nastavení procesů, školení zaměstnanců a citlivém přístupu k celé změně.

Zkušenosti z těchto projektů dnes využíváme jak u větších organizací, tak u menších a středních firem, které chtějí zvýšit bezpečnost svých účtů a současně zachovat komfort svých zaměstnanců.

Nejčastější věta, kterou ve firmách slýchám

Pokud bych měl vybrat jednu větu, která se v oblasti bezpečnosti opakuje nejčastěji, byla by to:

„Takhle to děláme roky a ještě se nic nestalo.“

Právě tato věta bývá často začátkem budoucího problému.

Útočníci dnes nevybírají konkrétní firmy. Automatizované systémy nepřetržitě zkouší hesla, hledají zranitelnosti a testují přístupy. Dnes už nejde o otázku, zda se někdo pokusí o útok.

Otázkou je pouze kdy.

Jak firmy nejčastěji přichází o přístupové údaje

Ve naší praxi se nejčastěji setkáváme se třemi scénáři.

Uhodnutí hesla

Útok hrubou silou je dnes díky dostupnému výpočetnímu výkonu velmi snadný. Slabá hesla nebo jednoduché kombinace útočníci dokážou odhalit během velmi krátké doby.

Právě zde pomáhá silné heslo, firewall, IPS a samozřejmě 2FA.

Uniklá databáze hesel

Zaměstnanec se registruje do e-shopu a použije stejné heslo jako do firemního e-mailu. Databáze e-shopu unikne a útočníci začnou stejné přihlašovací údaje zkoušet na dalších službách.

S tímto scénářem se setkáváme velmi často.

Napadený počítač

Zavirovaná stanice nebo kompromitovaný notebook mohou útočníkovi poskytnout uložená hesla.

Právě zde se ukazuje obrovská výhoda dvoufaktorového ověření. Samotné heslo totiž útočníkovi nestačí.

Microsoft 365 je dnes pod neustálým útokem

Cloudové služby jsou přístupné z celého světa. Nikdo nikdy přesně neví, kdy začne útok a kdo jej provádí.

Velmi často vídám pokusy o přihlášení z různých zemí. Sám jsem zaznamenal opakované pokusy o přístup k vlastním účtům.

Bez 2FA by dříve nebo později některý pokus mohl uspět.

Proto dnes považuji zabezpečení Microsoft 365, e-mailů, OneDrivu nebo SharePointu za naprostý základ.

Proč zaměstnanci 2FA odmítají

Důvody bývají stále stejné:

• je to prý složité,
• zdržuje to,
• obtěžuje to,
• lidé se bojí, že zapomenou telefon,
• obávají se omezení práce.

A musím říct, že část těchto obav je oprávněná.

Pokud se 2FA zavede necitlivě, může zaměstnance skutečně obtěžovat.

Proto v AdminIT s.r.o. vždy hledáme rozumný kompromis mezi bezpečností a komfortem.

Push notifikace dnes představují ideální řešení. Uživatel pouze potvrdí přihlášení v mobilním telefonu a pokračuje v práci.

Jak zavádíme 2FA ve firmách

Většinou nezačínáme tam, kde je nejvíce uživatelů. Naopak.

Začínáme tam, kde změna nejméně bolí. Velmi často je to VPN.

Zaměstnanci již stejně používají jméno, heslo nebo certifikát. Jedno potvrzení navíc obvykle přijmou bez větších problémů.

Jakmile si zvyknou na aplikaci a začnou ji používat, nasazení do dalších systémů bývá výrazně jednodušší.

Největší problém není technologie, ale nedostatečně proškolení zaměstnanci

Ve firmách, kde pravidelně školíme zaměstnance, vidíme výrazně méně bezpečnostních incidentů.

Lidé často předpokládají, že útok znamená složité hackování. Realita je mnohem jednodušší.

Útočník přijde na recepci. Představí se jako technik. Požádá o heslo. A někdo mu ho předá.

Dokonce jsme řešili situaci, kdy se pachatelé představili jako údržba.

Proto dnes považuji školení zaměstnanců za jednu z nejdůležitějších částí bezpečnosti.

Bezpečnost není jedna krabička

Často se setkávám s představou: Koupíme drahé zařízení a máme vyřešeno.

Takto bezpečnost nefunguje.

Ve skutečnosti ji tvoří:

• firewall,
• aktualizace,
• monitoring,
• IDS a IPS,
• segmentace sítí,
• zálohování,
• recovery scénáře,
• školení zaměstnanců,
• 2FA.

Právě proto v AdminIT s.r.o. vždy začínáme plánem a auditem.

Technologie je až další krok.

Bez monitoringu je firma slepá

Pokud nevíte, co se ve vaší infrastruktuře děje, nemůžete reagovat.

Proto našim zákazníkům poskytujeme zdarma proaktivní monitoring sítí 24/7.

Monitoring nám umožňuje odhalit útoky, problémy se servery, pokusy o přihlášení nebo bezpečnostní incidenty dříve, než dojde k výpadku.

Mým cílem je vždy IT bez výpadku, nikoliv řešení problémů až ve chvíli, kdy už firma stojí.

Co nejvíce podceňují malé a střední firmy

Především jednu věc. Že se jich to netýká.

Setkávám se s názorem: Jsme malá firma, nás nikdo napadat nebude.

Jenže automatizované útoky nerozlišují mezi firmou s deseti zaměstnanci a společností s několika stovkami pracovníků.

Útočníci hledají nejslabší článek. A ten se dříve nebo později najde.

Co doporučuji firmám o velikosti 20 až 100 zaměstnanců

Pokud bych měl doporučit minimum, bylo by to:

• bezpečnostní plán,
• monitoring,
• IDS a IPS,
• kvalitní zálohování,
• recovery scénáře,
• pravidelné školení zaměstnanců,
• zavedení 2FA.

Nemusí být všechno najednou. Důležité je začít!

Když už je firma napadená

Pokud má vaše firma vlastní IT oddělení, většinou situaci řešíte interně. Když nevíte, jak dál, pomůže vám náš externí audit.

Pokud vaše firma nemá vlastní IT oddělení nebo si již nevíte rady, obraťte se na nás!

Pomůžeme vám s:

• obnovou provozu,
• analýzou incidentu,
• obnovou dat,
• novým nastavením bezpečnosti,
• zavedením 2FA,
• monitoringem,
• dlouhodobou správou.

Velmi často totiž neřešíme samotný útok.

Řešíme hlavně to, aby se situace už neopakovala.

Bezpečnost není projekt na týden

Kybernetická bezpečnost není jednorázový nákup.

• Je to proces.
• Je to plán.
• Je to práce s lidmi.
• Je to monitoring.
• Je to školení.
• Je to prevence.

A právě s tím pomáháme našim zákazníkům již od roku 2007.

Jako IT firma s nonstop podporou poskytujeme správu serverů, bezpečnostní audity, monitoring, implementaci 2FA i dlouhodobou správu infrastruktury.

Pomáháme firmám v celé republice, ať už jde o externí správu IT v Praze, Plzni, Brně nebo dalších regionech.

Protože ve výsledku není nejdůležitější technologie. Nejdůležitější je, aby vaše firma fungovala bezpečně, spolehlivě a bez výpadků.

Ing. Luboš Matějka, Ph.D.
Jednatel společnosti AdminIT s.r.o.

FAQ – Nejčastější otázky

Musí mít každá firma 2FA?
Ne každá firma má zákonnou povinnost, ale u administrátorských účtů a kritických systémů jde dnes o doporučený standard.

Jak dlouho trvá zavedení 2FA?
Záleží na velikosti firmy a počtu systémů. Ve většině případů doporučujeme postupné zavádění. V konkrétních případech dokážeme zvládnout první fázi implementace 2FA do pár týdnů.

Zdržuje 2FA zaměstnance?
Moderní push notifikace znamenají potvrzení jedním kliknutím a dopad na práci je minimální.

Kde začít se zavedením 2FA?
Nejčastěji doporučuji VPN, e-mailové účty a cloudové služby.

Co dělat po hackerském útoku?
Je nutné zastavit útok, analyzovat příčinu, obnovit provoz a nastavit opatření, aby se situace neopakovala.

Může AdminIT s.r.o. pomoci se zavedením 2FA?
Ano. V AdminIT s.r.o. pomáháme s návrhem řešení, implementací, školením zaměstnanců i dlouhodobou správou bezpečnosti firemních systémů.