Mitmeastmelise autentimise (MFA) lahenduse valimine näib hankelehe linnukesena, kuid tegelikult on see otsus kümneks aastaks. Selles juhendis on küsimused, mille abil eristada lahendust, mis teid vaikselt kaitseb, lahendusest, mis vaikselt teie järgmiseks migreerimisprojektiks kujuneb.
Usaldus
Usaldage turvamudelit. Avaliku võtme krüptograafial põhinevad lahendused annavad tugevamad tagatised kui jagatud saladusel põhinevad skeemid: pole keskset saladuste hoidlat, mida rünnata, ega midagi, mida teaksid mõlemad pooled. Suhtuge ettevaatusega suletud krüptograafiasse; eelistage avatud ja auditeeritud aluseid.
Tundke tehnoloogilist vundamenti. Kus võtmed genereeritakse? Kus neid hoitakse? Telefoni riistvaralises turvaelemendis loodud ja hoitavat võtit ei saa eksportida ega kloonida; registreerimisel QR-koodiga edastatud algsaladus on aga täpselt nii turvaline, kui turvaline oli see edastus.
Mõelge, kelle käes on kontroll
Oma taristus või SaaS. Kus lahendus töötab ja mis saab teie autentimisest, kui tarnijal tekib katkestus – või turvaintsident? Kui järelevalveasutus küsib, kus autentimisandmeid hoitakse, kas teil on vastus, mida te ise kontrollite?
Auditeeritav andmevahetus. Kas näete ja saate kontrollida, mida lahendus üle võrgu saadab? Siin loeb tehingu kinnitamine: kasutaja peab nägema, mida ta täpselt kinnitab, ja kinnitus peab olema krüptograafiliselt seotud just sellega.
Ärge unustage regulatsioone
Kus hakatakse andmeid hoidma ja kas isikuandmeid on tarnijale üldse vaja üle anda? Euroopa Liidu organisatsioonide jaoks muudab selle küsimuse käegakatsutavaks IKÜM (isikuandmete kaitse üldmäärus). Finantstehnoloogias otsustavad PSD2 tugeva kliendiautentimise ja dünaamilise sidumise nõuded, millised lahendused üldse kõne alla tulevad. Kohalduda võivad ka töökindluse ja käideldavuse nõuded: kas lahendust saab teie kontrolli all liiasusega käitada?
Omamise kogukulu
Litsentsitasud on kulude nähtav osa. Arvestage ka järgmisega:
- Sõltuvused teistest toodetest: kas lahendus eeldab teisi tooteid, kataloogiteenuseid või riistvara, mida teil veel pole?
- Hooldustasud ja versiooniuuendused.
- Tööjõukulud: igapäevane haldus, kasutajatugi ja koolitused.
- Juurutamisele kuluv aeg: iga seadistamisele kuluv nädal on palgakulu enne, kui mingitki kaitset olemas on.
- Alternatiivkulud: kas lahendus sobib ka siis, kui lisandub dokumentide allkirjastamine, uued rakendused või ühinemise järel terve hulk uusi kasutajaid?
Olge SMS-iga ettevaatlik
SMS-koode saab pealt kuulata, SIM-kaardi vahetusega kaaperdada ja õngitseda ning need ei jäta mingit jälge sellest, mida kasutaja kinnitamise hetkel tegelikult nägi. Järelevalveasutused on seda tähele pannud. Kui SMS on praegu teie teine autentimistegur, käsitlege seda üleminekuetapina, mitte lõppsihina.
Kasutajakogemus otsustab kõik
Turvameetmele, mis kasutajaid häirib, leitakse viis kõrvale hiilida, ja kõrvale hiilitud kontroll on hullem kui kontrolli puudumine, sest vastavusaruandes paistab see rohelisena. Võrrelge riistvarakogemust (mida peavad kasutajad kaasas kandma, eraldi PIN-kalkulaatorit või ainult telefoni?), tarkvarakogemust (mitu puudutust? mitu võimalikku ebaõnnestumiskohta?) ja administraatori kogemust (kui kaua ühe kasutaja liidestamine tegelikult aega võtab?). Ka privaatsus on osa kogemusest: lahendus, mis kuhjab kokku kasutajate andmeid, loob ise uue riski.
Mis edasi?
Igasugune turvalisus on parem kui turvalisuse puudumine, kuid migreerimiskulud on päris kulud, seega valige lahendus, millest te välja ei kasva. Hinnake lahendust oma keskkonnas pilootprojektiga: päris VPN, päris rakendus, käputäis päris kasutajaid. See annab nädalaga rohkem teadmisi kui funktsioonide võrdlustabel terve kvartaliga.