Autenticação multifactor para acessos críticos
Uma palavra-passe roubada não deveria bastar para entrar no email de administração, na cloud, no registrador de domínios, no servidor ou no sistema financeiro.
A autenticação multifactor acrescenta uma prova adicional e deve começar pelos acessos que podem causar maior dano.
O que é MFA
MFA combina factores de categorias diferentes: algo que a pessoa sabe, algo que possui ou algo que é. Uma password e um código enviado para o mesmo email não oferecem a mesma independência que uma chave de segurança ou uma aplicação autenticadora protegida.
A qualidade depende do método e da forma como a recuperação é desenhada.
Por onde começar
Priorize administradores, email, cloud, VPN, servidores, CI/CD, registradores de domínios, pagamentos, backups e ferramentas que podem alterar dados de clientes. Depois avance para toda a organização.
Faça uma lista de contas de emergência, contas de serviço e integrações para não deixar uma porta privilegiada esquecida.
Resistente a phishing quando possível
Códigos OTP são melhores do que apenas password, mas podem continuar vulneráveis a phishing. Para acessos críticos, privilegie passkeys ou chaves FIDO2/WebAuthn quando os serviços suportarem.
Defina pelo menos dois métodos de recuperação controlados, com verificação de identidade e registo da alteração.
O que não fazer
Não partilhe uma conta administrativa, não guarde códigos de recuperação numa folha pública, não deixe SMS como única opção para sistemas de maior risco e não desactive MFA para resolver uma emergência sem registar a excepção e o prazo de reposição.
O acesso de emergência deve ser raro, monitorizado e testado.
A leitura da PontoTi
MFA é uma medida de alto retorno, mas não substitui privilégios mínimos, actualizações, backups, monitorização e formação.
A implementação correcta inclui inventário, política, suporte ao utilizador, teste de recuperação, revisão periódica e evidência de que as contas críticas estão realmente protegidas.