3 kaksivaiheisen tunnistautumisen

Tässä blogissa kerromme syitä, miksi sinun kannattaa unohtaa siihen liittyvät myytit, ja tarkastella asioita kokonaisvaltaisemmin sekä puhua henkilöstösi keskuudessa 2FA:n puolesta.

Myytti 1: Työntekijät eivät hyväksy 2FA:n käyttöä

Tämä uskomus selittyy paljolti sillä, että otsikoissa ja artikkeleissa viestitään säännöllisesti siitä, että käyttäjät eivät halua käyttää arjessaan kaksivaiheista tunnistautumista. Yksi viime vuosien tunnetuimpia tarinoita on Googlen insinöörin tekemä havainto, jonka mukaan alle 10 % ihmisistä käyttää kaksivaiheista tunnistautumista. Tämä tieto on ollut kuitenkin saatavilla jo 10 vuotta.   

Nyt näyttää siltä, että tilanne on kuitenkin muuttumassa. Google ilmoitti tänä vuonna, että yritys aikoo toteuttaa 150 miljoonalle käyttäjälle 2FA:n automaattisen käyttöönoton. Kyseessä on niin mittava uudistus, että se voi vaikuttaa hyvinkin voimakkaasti käyttäjien asenteisiin.  

Duon tekemän tuoreen tutkimuksen mukaan 2FA:n suosio on kasvanut viimeisen kahden vuoden aikana: Kaksivaiheista tunnistautumista oli käyttänyt vuonna 2019 noin 53 %, kun vastaava luku oli vuonna 2021 jo 79 %. Saman selvityksen mukaan kaksivaiheista tunnistautumista käytetään työllisten keskuudessa 20 % enemmän verrattuna muuhun väestöön. Nämä tulokset ovat linjassa LastPassin selvityksen kanssa, jonka mukaan 57 % yrityksistä käyttää jo globaalisti monivaiheista tunnistautumista.

2FA:n käyttö tulee todennäköisesti jatkossakin lisääntymään työntekijöiden keskuudessa hybridin työnteon yleistyessä. Monissa organisaatioissa on nyt kiire toteuttaa toimenpiteitä, kuten kaksivaiheista tunnistautumista, vahvistamaan tietoturvaa etätyötä tekevien ammattilaisten kirjautuessa yrityksen sovelluksiin ja tietoverkkoihin.   

Kaksivaiheisesta tunnistautumisesta tulee lähivuosina vakiintunut tapa tunnistautua yritysten tietojärjestelmiin ja tietoverkkoihin. 

Myth 2: 2FA is Myytti 2: 2FA:n käyttökokemus ei ole hyvä 

Olemme nähneet markkinoilla useita heikonlaisia yrityksiä ottaa 2FA:ta käyttöön. Nämä ovat vaikuttaneet siihen, että kaksivaiheinen tunnistautuminen mielletään käyttäjäkokemuksen osalta heikoksi. Ensimmäiset 2FA-ratkaisut perustuivat pitkälti ’tokeneihin’, jotka tuottivat kerran käytettävän salasanan. Nykypäivänä käyttäjille voidaan lähettää puhelimeen toinen tunniste tunnistautumissovelluksilla tai lähettämällä koodi tekstiviestillä. Biometrisiä tunnisteita, kuten sormenjälkeä tai kasvontunnistusta, voidaan myös käyttää. Kasvojen tunnistus on tullut monille jo tutuksi aina pankkipalveluista sähköpotkulaudan vuokraamiseen. Henkilöstölle kannattaa kertoa, että kaksivaiheista tunnistautumista käyttämällä yrityksen tietojärjestelmiin kirjautuminen voi sujua yhtä saumattomasti ja helposti kuin ilman sitä. 

Myytti 3: 2FA ei ole niin turvallinen kuin luvataan 

Googlesta löytyy nopeasti useita artikkeleita, joissa eri tahot kertovat, ettei 2FA ole täysin turvallista. Jotkut ovat korostaneet Twitterin CEO Jack Dorseyta vastaan SIM-kortin vaihdolla tehdyn hyökkäyksen osoittavan, kuinka helppoa on siepata kertakäyttöinen koodi puhelimeen ja edelleen vaihtaa salasanoja sekä kirjautua niillä tietojärjestelmiin. Moni on nostanut esille botteja, joita kyberrikolliset voivat käyttää kertakäyttöisten koodien ja salasanojen sieppaamiseen.  

Näitä hyökkäyksiä on sattunut kuitenkin harvoin, ja ratkaisuja on tarjolla. Monet tietoturva-ammattilaiset suosittelevat käyttämään esimerkiksi pieniä USB-laitteita, joita työntekijät voivat kantaa mukanaan ja liittää tietokoneeseen. Tämä toimii vaihtoehtoisena tapana tunnistautua, ja poistaa mahdollisuuden puhelimeen välitettävän koodin varastamiseen. Kasvojentunnistus tarjoaa toisen tunnistautumisen kerroksen, jota on vaikea väärentää.  

Yrityksissä tulee ennen kaikkea tiedostaa se, että 2FA on missä muodossa tahansa käytettynä huomattavasti turvallisempaa kuin jatkaa tietojärjestelmiin kirjautumista yhdellä salasanalla. Microsoftin mukaan 2FA estää 99,9 % tehokkaammin tileille tehtyjä hyökkäyksiä. 

Salasanoihin kohdistuneet hyökkäykset ovat lisääntyneet korona-pandemian aikana. Hyökkäysten määrä kasvoi vuonna 2021 kuuden kuukauden aikana peräti 45 %, joka johtui pitkälti etätyön lisääntymisestä yritysten toimitilojen ulkopuolelle ja sen tuomasta uhkasta tietoturvalle.    “Viesti tästä kaikesta on hyvin kirkas. Jokainen organisaatio, joka haluaa suojata kriittistä dataansa ja kriittisiä tietojärjestelmiään pitäisi harkita kaksivaiheisen tunnistautumisen käyttöönottoa jossain muodossa ja varmistaa, että työntekijät ryhtyvät käyttämään sitä niin pian kuin mahdollista”, sanoo Admincontrolin tietoturvapäällikkö Ole Martin Refvik.   

Kannustamme kaikkia asiakkaaitamme ottamaan kahdenkertaisen tunnistautumisen (2FA) käyttöön sisäänkirjautumisessa Admincontrolin hallitusportaaliin ja virtuaaliseen datahuoneeseen (ilman lisäveloitusta) vuonna 2022.