De fleste virksomheder har en politik for adgangskoder. Næsten ingen har en politik for den app, der genererer tofaktorkoderne.
En blind vinkel i adgangskontrollen
Tofaktor er blevet standard. Forsikringsselskaber kræver det. NIS2 forudsætter det. Kunderne forventer det.
Men selve appen har de fleste organisationer aldrig taget stilling til.
I praksis bruger medarbejderne den app, der dukkede op på skærmen ved første login. Ikke fordi nogen valgte den, men fordi ingen stillede spørgsmålet.
Det er værd at stille nu
SMS-koder udfases hos flere store udbydere, fordi metoden er for usikker. Valget af erstatning er ikke ligegyldigt.
Nogle apps gemmer koderne i leverandørens egen cloud og tillader ikke eksport til andre apps. Skifter I app, mister I adgangen og skal genskabe alt fra bunden.
Synkroniserede passkeys går via en af de tre store platforme. Passkeys er teknisk stærkere end engangskoder, men synkroniseringen binder jer til én leverandørs infrastruktur.
Engangskoder efter den åbne standard genereres derimod lokalt på enheden. Enhver kompatibel app kan bruges, og I kan skifte uden at miste adgang.
Det er samme skelnen som i forskellen på de fire typer tofaktor. Styrken er én ting. Bindingen er en anden.
Hvad der bør stå i en politik
Hvilken app der er godkendt, og hvorfor. Om koderne kan eksporteres. Hvad der sker, når en medarbejder får ny telefon. Og hvem der kan nulstille tofaktoren, hvis appen går tabt.
Det sidste er det vigtigste. Nulstillingsproceduren er som regel svagere end selve tofaktoren.
Tre ting I kan gøre
Find ud af, hvilke apps jeres medarbejdere faktisk bruger. Det er sjældent kun én.
Undersøg, om koderne kan eksporteres. Kan de ikke, er I bundet, indtil hver enkelt konto sættes op på ny.
Skriv nulstillingsproceduren ned med en kontrol, der ikke kan udføres over telefonen af en, der lyder rigtigt.
Hvilken app bruger I
Ved I, hvilke authenticator-apps der er i brug hos jer, og om koderne kan flyttes?
IT-rådgivning er en uvildig vurdering af, hvad I bruger i dag, og hvad et skifte ville koste.
Har du brug for en vurdering? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
Gør som 4.500+ andre. Få mønstre fra 500 dokumenterede sager og konkrete anbefalinger om cybersikkerhed og digital suverænitet hver 14. dag.
