Wybór rozwiązania do uwierzytelniania wieloskładnikowego to decyzja na najbliższą dekadę, ukryta pod pozorem zwykłej pozycji w formularzu zakupowym. Ten przewodnik zbiera pytania, które oddzielają rozwiązania dyskretnie chroniące organizację od tych, które równie dyskretnie zamieniają się w kolejny projekt migracyjny.
Zaufanie
Model bezpieczeństwa, któremu można zaufać. Rozwiązania oparte na kryptografii klucza publicznego dają mocniejsze gwarancje niż schematy ze współdzielonym sekretem: nie istnieje centralny sejf z sekretami, do którego można się włamać, ani nic, co znałyby obie strony. Należy zachować ostrożność wobec zamkniętej, autorskiej kryptografii. Warto wybierać otwarte, poddane audytowi podstawy.
Warto poznać fundament technologiczny. Gdzie generowane są klucze? Gdzie są przechowywane? Klucza utworzonego i przechowywanego w sprzętowym module bezpieczeństwa telefonu nie da się wyeksportować ani sklonować; materiał inicjujący (seed) przekazywany kodem QR podczas rejestracji jest bezpieczny tylko na tyle, na ile bezpieczny jest sam sposób jego przekazania.
Kto sprawuje kontrolę?
On-premise czy SaaS. Gdzie działa rozwiązanie i co stanie się z Państwa uwierzytelnianiem, gdy dostawca zaliczy awarię albo naruszenie bezpieczeństwa? Jeśli regulator zapyta, gdzie przechowywane są dane uwierzytelniające, czy mają Państwo odpowiedź, którą sami kontrolują?
Możliwa do skontrolowania komunikacja. Czy mogą Państwo zobaczyć i zweryfikować, co rozwiązanie przesyła przez sieć? Liczy się tu weryfikacja transakcji: użytkownik powinien widzieć, co właściwie zatwierdza, a samo zatwierdzenie powinno być kryptograficznie powiązane dokładnie z tą treścią.
Warto pamiętać o regulacjach
Gdzie będą przechowywane dane i czy w ogóle trzeba przekazywać dostawcy dane osobowe? Dla organizacji z UE konkretnej odpowiedzi na to pytanie wymaga RODO. W branży fintech to wymogi PSD2 dotyczące silnego uwierzytelniania klienta i dynamicznego łączenia (dynamic linking) przesądzają, które rozwiązania w ogóle wchodzą w grę. Zastosowanie mogą mieć również wymogi dotyczące odporności i dostępności: czy rozwiązanie może działać nadmiarowo (redundantnie) i pod Państwa kontrolą?
Całkowity koszt posiadania
Opłaty licencyjne to część widoczna gołym okiem. Należy policzyć również:
- Zależności produktowe: czy rozwiązanie wymaga innych produktów, usług katalogowych lub sprzętu, którego jeszcze Państwo nie mają?
- Opłaty za utrzymanie oraz aktualizacje wersji.
- Koszty osobowe: bieżąca administracja, wsparcie użytkowników i szkolenia.
- Czas do uruchomienia: każdy tydzień konfiguracji to wypłacone wynagrodzenia, zanim jeszcze pojawi się jakakolwiek ochrona.
- Koszty utraconych możliwości: czy rozwiązanie nadal się sprawdzi, gdy dojdzie podpisywanie dokumentów, nowe aplikacje albo rzesza nowych użytkowników po fuzji?
Ostrożnie z SMS-ami
Kody SMS można przechwycić, przejąć metodą SIM swap i wyłudzić przez phishing, a przy tym nie zostawiają one żadnego śladu tego, co użytkownik faktycznie widział w chwili zatwierdzania. Regulatorzy już to zauważyli. Jeśli SMS jest dziś Państwa drugim składnikiem, należy traktować go jako etap przejściowy, a nie stan docelowy.
O wszystkim decyduje komfort użytkowania
Zabezpieczenie, które irytuje użytkowników, zostaje obchodzone, a obchodzone zabezpieczenie jest gorsze niż jego brak, bo w raporcie zgodności i tak świeci się na zielono. Warto porównać doświadczenie sprzętowe (co użytkownik musi nosić przy sobie?), programowe (ile dotknięć ekranu? ile możliwych scenariuszy błędu?) oraz to po stronie administratora (ile naprawdę trwa zarejestrowanie jednego użytkownika?). Częścią tego doświadczenia jest też prywatność: rozwiązanie, które gromadzi nadmiar danych o użytkownikach, samo staje się źródłem ryzyka.
Co dalej?
Jakiekolwiek zabezpieczenie jest lepsze niż żadne, ale koszty migracji są realne, więc warto wybrać coś, z czego szybko Państwo nie wyrosną. Rozwiązanie najlepiej ocenić we własnym środowisku, uruchamiając pilotaż: prawdziwe VPN, prawdziwą aplikację, garstkę prawdziwych użytkowników. To powie Państwu w tydzień więcej niż matryca funkcji przez cały kwartał.