MFA w firmie – jak wdrożyć logowanie dwuskładnikowe

Dlaczego samo hasło już nie wystarcza

Wycieki danych logowania zdarzają się nawet w dużych, dobrze zabezpieczonych serwisach, a raz wykradzione hasła trafiają na czarny rynek i są automatycznie testowane na innych kontach – w tym pocztowych i firmowych. Nawet dobrze skonfigurowana polityka haseł nie chroni przed sytuacją, w której pracownik użyje tego samego hasła w kilku miejscach albo padnie ofiarą ataku phishingowego.

MFA dodaje drugi, niezależny czynnik weryfikacji – coś, co użytkownik posiada (telefon, klucz sprzętowy) obok czegoś, co zna (hasło). Dzięki temu samo poznanie hasła przez atakującego nie wystarczy, by zalogować się na konto ofiary.

Jakie metody MFA wybrać dla firmy

Nie wszystkie metody MFA dają ten sam poziom ochrony. Warto rozumieć różnice, zanim zdecyduje się o wdrożeniu jednej z nich w całej organizacji.

• SMS z kodem – najprostszy do wdrożenia, ale podatny na przejęcie numeru telefonu (SIM swap) i coraz częściej odradzany.
• Aplikacja authenticator (powiadomienie push lub kod TOTP) – dobry kompromis między bezpieczeństwem a wygodą, popularna wśród małych firm.
• Klucze sprzętowe FIDO2 / passkeys – najwyższy poziom ochrony, odporne na phishing, bo klucz weryfikuje też adres strony, na której się logujemy.
• Biometria wbudowana w urządzenie – wygodna dla użytkownika, ale wymaga zgodnego sprzętu i odpowiedniej konfiguracji urządzeń firmowych.

Dla większości MŚP dobrym punktem startowym jest aplikacja authenticator, z docelowym przejściem na metody odporne na phishing dla kont uprzywilejowanych.

Wdrożenie MFA w Microsoft 365 krok po kroku

W środowisku Microsoft 365 MFA można włączyć na dwa sposoby: przez proste ustawienia domyślne zabezpieczeń (Security Defaults) lub przez dużo bardziej elastyczne zasady dostępu warunkowego (Conditional Access), dostępne w licencjach Azure AD Premium.

1. Zidentyfikuj wszystkie konta w organizacji, w tym konta usług i integracji, które mogą wymagać wyjątków.
2. Utwórz co najmniej jedno konto awaryjne (break-glass account) wyłączone z reguł MFA, z bardzo długim, unikalnym hasłem przechowywanym poza systemem – na wypadek problemów z dostawcą uwierzytelniania.
3. Włącz MFA najpierw dla grupy pilotażowej (np. działu IT), zweryfikuj działanie logowania do poczty, aplikacji mobilnych i starszych systemów.
4. Rozszerz zasady na całą organizację, blokując jednocześnie protokoły uwierzytelniania starszego typu (legacy authentication), które MFA omijają.
5. Przeszkol pracowników z obsługi aplikacji authenticator i procedury na wypadek utraty telefonu.

Jeśli wdrożenie obejmuje wiele systemów i integracji, warto powierzyć konfigurację zespołowi, który zna specyfikę środowiska – wsparcie IT NovaSys pomaga wdrożyć MFA bez przerw w pracy firmy i z zachowaniem dostępu awaryjnego.

Najczęstsze błędy przy wdrażaniu MFA

Wiele firm wdraża MFA pochopnie i traci część jego skuteczności przez kilka powtarzających się błędów.

• Brak konta awaryjnego – w razie awarii dostawcy tożsamości cała firma zostaje odcięta od systemów.
• Pozostawienie włączonych starszych protokołów uwierzytelniania (POP, IMAP, starsze klienty poczty), które nie obsługują MFA i dają furtkę do ominięcia zabezpieczenia.
• Wymuszanie MFA tylko dla części kont, np. pomijanie kont administracyjnych lub serwisowych, które są najczęstszym celem ataków.
• Brak zapasowej metody logowania – jeśli jedyna skonfigurowana metoda to telefon prywatny pracownika, jego utrata blokuje dostęp na dłużej.
• Brak szkolenia – użytkownicy klikający "akceptuj" w powiadomieniu push bez sprawdzenia, czy to oni sami próbują się zalogować, otwierają drogę do ataków zmęczeniowych (MFA fatigue).

MFA a nowe ataki omijające weryfikację dwuskładnikową

Klasyczne MFA oparte na kodach SMS czy powiadomieniach push nie jest już nie do złamania. Coraz popularniejsze ataki typu Adversary-in-the-Middle (AiTM) polegają na podstawieniu fałszywej strony logowania, która przechwytuje zarówno hasło, jak i token sesji tuż po zatwierdzeniu MFA przez ofiarę. Dlatego dla kont o podwyższonym ryzyku – administratorów, działu finansowego, zarządu – warto rozważyć metody odporne na phishing, takie jak klucze FIDO2 lub passkeys, które nie da się w ten sposób obejść.

Dodatkowym zabezpieczeniem jest ograniczenie liczby prób logowania z nietypowych lokalizacji oraz wymuszanie ponownej weryfikacji przy zmianie urządzenia.

Jak utrzymać skuteczność MFA w dłuższym okresie

Wdrożenie MFA to nie jednorazowy projekt, lecz proces wymagający okresowego przeglądu. Warto regularnie sprawdzać logi logowań pod kątem podejrzanych prób, aktualizować listę kont wyłączonych z reguł oraz reagować na nowe funkcje bezpieczeństwa udostępniane przez dostawcę tożsamości. Dobrą praktyką jest też co jakiś czas zweryfikowanie, czy metody zarejestrowane przez pracowników są nadal aktualne – zmiana telefonu czy odejście pracownika to częsty powód luk w konfiguracji.