Wdrożenie ochrony konta

Lista zaleceń, której nikt nie wdroży, nie chroni przed niczym. Dlatego to jest wspólna praca przy ustawieniach, a nie kolejny dokument do przeczytania. Przechodzimy przez konto punkt po punkcie, tłumaczymy, co dana opcja robi, i zostajemy do momentu, w którym wszystko jest ustawione. Hasła nie potrzebujemy i o nie nie prosimy, klikasz u siebie.

Dwuskładnikowe logowanie, najlepiej z aplikacji

Kod z SMS jest lepszy niż nic, ale to najsłabszy z dostępnych wariantów. Wiadomość można podejrzeć na zablokowanym ekranie, można ją wyłudzić w rozmowie, a numer telefonu da się przejąć u operatora, wyrabiając duplikat karty SIM na cudze dane. Dochodzi też prozaiczne ryzyko: za granicą albo bez zasięgu SMS po prostu nie przychodzi i to Ty zostajesz bez dostępu do konta.

Aplikacja uwierzytelniająca generuje kod na urządzeniu, bez połączenia z siecią, więc nie da się go przechwycić po drodze. Ustawiamy ją jako główną metodę, a SMS zostaje najwyżej jako zapasowy. Przy okazji ustalamy, na którym urządzeniu ma stać ta aplikacja i co się stanie, gdy zmienisz telefon, bo to jest moment, w którym najwięcej osób traci dostęp samodzielnie, bez udziału jakiegokolwiek atakującego.

Kody zapasowe i gdzie je trzymać

Kody zapasowe to zestaw jednorazowych ciągów, które wpuszczają na konto, gdy nie masz telefonu z aplikacją. Bardzo często są jedyną drogą powrotu, a niemal równie często leżą w notatkach na tym samym telefonie, którego brak jest całym problemem.

Ustalamy dla nich miejsce, które przetrwa utratę sprzętu: menedżer haseł z osobnym hasłem głównym, wydruk w miejscu, do którego masz dostęp niezależnie od telefonu, w firmie dodatkowo kopia u drugiej upoważnionej osoby. Zapisujemy też, ile kodów zostało i kiedy wygenerować nowe.

Czyszczenie starych dostępów

Odbieramy uprawnienia aplikacjom, z których już nie korzystasz, i wylogowujemy sesje z urządzeń, których nie rozpoznajesz albo nie masz. To samo dotyczy ludzi: byłych współpracowników, agencji po zakończonej umowie, znajomego, który kiedyś pomagał przy zdjęciach. Dostęp raz nadany zostaje na zawsze, dopóki ktoś świadomie go nie odbierze.

Porządek w mailu odzyskiwania

Skrzynka pocztowa jest kluczem do konta w mediach społecznościowych, więc zabezpieczenie profilu przy słabo chronionym mailu jest pozorne. Sprawdzamy, czy poczta ma własne dwuskładnikowe logowanie, jaki ma adres zapasowy i czy nie jest to skrzynka firmowa, którą stracisz razem z pracą albo współpracą.

Plan na wypadek utraty telefonu

Na koniec spisujemy krótką instrukcję: co zrobić po kolei, gdzie leżą kody zapasowe, jak przenieść aplikację uwierzytelniającą na nowy sprzęt, kogo powiadomić w firmie. Jedna kartka, do której sięga się raz, ale wtedy, gdy nie ma czasu na szukanie.

Jeśli nie wiesz jeszcze, co dokładnie wymaga naprawy, zacznij od audytu bezpieczeństwa, bo wdrożenie idzie wtedy po gotowej liście. W firmie z zespołem i agencją te same ustawienia trzeba rozpisać na role, co opisujemy przy bezpieczeństwie dla firm. Podstawy do zrobienia samodzielnie zebraliśmy w poradniku jak zabezpieczyć konto.